Zawartość związana z zabezpieczeniami w systemie macOS Sequoia 15.3

W tym dokumencie opisano zawartość związaną z zabezpieczeniami w systemie macOS Sequoia 15.3.

Uaktualnienia zabezpieczeń Apple

W celu ochrony swoich klientów Apple nie ujawnia, nie omawia ani nie potwierdza zagrożeń bezpieczeństwa przed ich zbadaniem i udostępnieniem poprawek lub wersji oprogramowania. Najnowsze wersje są wymienione na stronie Wersje uaktualnień Apple.

Gdy jest to możliwe, w dokumentach Apple dotyczących bezpieczeństwa odniesienia do luk w zabezpieczeniach są wykonywane za pomocą identyfikatorów CVE.

Więcej informacji na temat zabezpieczeń jest dostępnych na stronie Bezpieczeństwo produktów firmy Apple.

macOS Sequoia 15.3

AirPlay

Dostępne dla: systemu macOS Sequoia

Zagrożenie: atakujący w sieci lokalnej może spowodować nieoczekiwane zamknięcie systemu lub uszkodzenie pamięci procesowej

Opis: rozwiązano problem ze sprawdzaniem poprawności danych wejściowych.

CVE-2025-24126: Uri Katz (Oligo Security)

AirPlay

Dostępne dla: systemu macOS Sequoia

Zagrożenie: atakujący zdalnie może spowodować nieoczekiwane zakończenie działania aplikacji

Opis: naprawiono błąd nieprawidłowego rozpoznawania typu przez poprawienie mechanizmów kontrolnych.

CVE-2025-24129: Uri Katz (Oligo Security)

AirPlay

Dostępne dla: systemu macOS Sequoia

Zagrożenie: atakujący z uprzywilejowanym dostępem do sieci może wykonać atak typu „odmowa usługi”

Opis: ten błąd naprawiono przez ulepszenie obsługi pamięci.

CVE-2025-24131: Uri Katz (Oligo Security)

AirPlay

Dostępne dla: systemu macOS Sequoia

Zagrożenie: osoba atakująca zdalnie może spowodować atak typu „odmowa usługi”.

Opis: naprawiono błąd dereferencji wskaźnika null przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2025-24177: Uri Katz (Oligo Security)

AirPlay

Dostępne dla: systemu macOS Sequoia

Zagrożenie: atakujący zdalnie może spowodować nieoczekiwane zakończenie działania aplikacji lub wykonanie dowolnego kodu.

Opis: naprawiono błąd nieprawidłowego rozpoznawania typu przez poprawienie mechanizmów kontrolnych.

CVE-2025-24137: Uri Katz (Oligo Security)

AppKit

Dostępne dla: systemu macOS Sequoia

Zagrożenie: aplikacja może być w stanie uzyskać dostęp do chronionych danych użytkownika.

Opis: błąd naprawiono przez wprowadzenie dodatkowych procedur sprawdzania uprawnień.

CVE-2025-24087: Mickey Jin (@patch1t)

AppleGraphicsControl

Dostępne dla: systemu macOS Sequoia

Zagrożenie: analizowanie pliku może spowodować nieoczekiwane zamknięcie aplikacji

Opis: ten błąd naprawiono przez ulepszenie sprawdzania.

CVE-2025-24112: D4m0n

AppleMobileFileIntegrity

Dostępne dla: systemu macOS Sequoia

Zagrożenie: aplikacja może być w stanie uzyskać dostęp do informacji o kontaktach użytkownika.

Opis: naprawiono błąd logiczny przez poprawienie ograniczeń.

CVE-2025-24100: Kirin (@Pwnrin)

AppleMobileFileIntegrity

Dostępne dla: systemu macOS Sequoia

Zagrożenie: aplikacja może być w stanie uzyskać dostęp do poufnych danych użytkownika.

Opis: naprawiono błąd degradacji przez wprowadzenie dodatkowych ograniczeń dotyczących podpisywania kodu.

CVE-2025-24109: Bohdan Stasiuk (@Bohdan_Stasiuk)

AppleMobileFileIntegrity

Dostępne dla: systemu macOS Sequoia

Zagrożenie: aplikacja może być w stanie zmodyfikować chronione części systemu plików.

Opis: naprawiono błąd dotyczący uprawnień przez wprowadzenie dodatkowych ograniczeń.

CVE-2025-24114: Mickey Jin (@patch1t)

AppleMobileFileIntegrity

Dostępne dla: systemu macOS Sequoia

Zagrożenie: aplikacja może być w stanie zmodyfikować chronione części systemu plików.

Opis: naprawiono błąd logiczny przez poprawienie procedur sprawdzania.

CVE-2025-24121: Mickey Jin (@patch1t)

AppleMobileFileIntegrity

Dostępne dla: systemu macOS Sequoia

Zagrożenie: aplikacja może być w stanie zmodyfikować chronione części systemu plików.

Opis: rozwiązano problem z przechodzeniem na starszą wersję w Macach z procesorem Intel, wprowadzając dodatkowe ograniczenia dotyczące podpisywania kodu.

CVE-2025-24122: Mickey Jin (@patch1t)

ARKit

Dostępne dla: systemu macOS Sequoia

Zagrożenie: analizowanie pliku może spowodować nieoczekiwane zamknięcie aplikacji

Opis: ten błąd naprawiono przez ulepszenie sprawdzania.

CVE-2025-24127: Minghao Lin (@Y1nKoc), babywu i Xingwei Lin z Uniwersytetu Zhejiang

Audio

Dostępne dla: systemu macOS Sequoia

Zagrożenie: analizowanie pliku może spowodować nieoczekiwane zamknięcie aplikacji

Opis: ten błąd naprawiono przez ulepszenie sprawdzania.

CVE-2025-24106: Wang Yu z Cyberserval

CoreAudio

Dostępne dla: systemu macOS Sequoia

Zagrożenie: analizowanie pliku może spowodować nieoczekiwane zamknięcie aplikacji

Opis: ten błąd naprawiono przez ulepszenie sprawdzania.

CVE-2025-24160: Threat Analysis Group firmy Google

CVE-2025-24161: Threat Analysis Group firmy Google

CVE-2025-24163: Threat Analysis Group firmy Google

CoreMedia

Dostępne dla: systemu macOS Sequoia

Zagrożenie: analizowanie pliku może spowodować nieoczekiwane zamknięcie aplikacji

Opis: ten błąd naprawiono przez ulepszenie sprawdzania.

CVE-2025-24123: Desmond pracujący w ramach programu Zero Day Initiative firmy Trend Micro

CVE-2025-24124: Pwn2car i Rotiple (HyeongSeok Jang) pracujący w ramach programu Zero Day Initiative firmy Trend Micro

CoreMedia

Dostępne dla: systemu macOS Sequoia

Zagrożenie: złośliwie spreparowana aplikacja może być w stanie podwyższyć uprawnienia. Apple ma świadomość, że problem mógł być aktywnie wykorzystywany w atakach na systemy iOS wydane przed systemem iOS 17.2.

Opis: naprawiono błąd dotyczący użycia po zwolnieniu przez poprawienie procedury zarządzania pamięcią.

CVE-2025-24085

CoreRoutine

Dostępne dla: systemu macOS Sequoia

Zagrożenie: aplikacja może być w stanie określić bieżącą lokalizację użytkownika.

Opis: ten błąd naprawiono przez ulepszenie sprawdzania.

CVE-2025-24102: Kirin (@Pwnrin)

FaceTime

Dostępne dla: systemu macOS Sequoia

Zagrożenie: aplikacja może być w stanie uzyskać dostęp do poufnych danych użytkownika.

Opis: usunięto błąd dotyczący ujawniania pamięci przez poprawienie mechanizmów kontroli prywatności.

CVE-2025-24134: Kirin (@Pwnrin)

iCloud

Dostępne dla: systemu macOS Sequoia

Zagrożenie: pliki pobrane z Internetu mogą nie mieć zastosowanej flagi kwarantanny.

Opis: ten problem rozwiązano przez poprawienie zarządzania stanem.

CVE-2025-24140: Matej Moravec (@MacejkoMoravec)

iCloud Photo Library

Dostępne dla: systemu macOS Sequoia

Zagrożenie: aplikacja może być w stanie pominąć ustawienia prywatności.

Opis: ten błąd naprawiono przez ulepszenie sprawdzania.

CVE-2025-24174: Arsenii Kostromin (0x3c3e), Joshua Jones

ImageIO

Dostępne dla: systemu macOS Sequoia

Zagrożenie: przetworzenie obrazu może doprowadzić do ataku typu „odmowa usługi”.

Opis: ten błąd naprawiono przez ulepszenie obsługi pamięci.

CVE-2025-24086: DongJun Kim (@smlijun) i JongSeong Kim (@nevul37) w Enki WhiteHat, D4m0n

Kernel

Dostępne dla: systemu macOS Sequoia

Zagrożenie: aplikacja może być w stanie spowodować nieoczekiwane zamknięcie systemu lub zapisanie pamięci jądra.

Opis: ten błąd naprawiono przez ulepszenie obsługi pamięci.

CVE-2025-24118: Joseph Ravichandran (@0xjprx) z MIT CSAIL

Kernel

Dostępne dla: systemu macOS Sequoia

Zagrożenie: złośliwie spreparowana aplikacja może być w stanie uzyskać uprawnienia użytkownika root.

Opis: naprawiono błąd dotyczący uprawnień przez wprowadzenie dodatkowych ograniczeń.

CVE-2025-24107: anonimowy badacz

Kernel

Dostępne dla: systemu macOS Sequoia

Zagrożenie: aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra.

Opis: usunięto błąd sprawdzania poprawności przez poprawienie logiki sprawdzania.

CVE-2025-24159: pattern-f (@pattern_F_)

LaunchServices

Dostępne dla: systemu macOS Sequoia

Zagrożenie: aplikacja może być w stanie uzyskać dostęp do poufnych danych użytkownika.

Opis: usunięto zjawisko wyścigu przez wprowadzenie dodatkowego sprawdzania poprawności.

CVE-2025-24094: anonimowy badacz

LaunchServices

Dostępne dla: systemu macOS Sequoia

Zagrożenie: aplikacja może odczytywać pliki poza swoją piaskownicą

Opis: usunięto błąd w procedurze obsługi wyrażeń przez poprawienie procedury sprawdzania poprawności.

CVE-2025-24115: anonimowy badacz

LaunchServices

Dostępne dla: systemu macOS Sequoia

Zagrożenie: aplikacja może być w stanie pominąć ustawienia prywatności.

Opis: usunięto błąd dostępu przez wprowadzenie dodatkowych ograniczeń piaskownicy.

CVE-2025-24116: anonimowy badacz

LaunchServices

Dostępne dla: systemu macOS Sequoia

Zagrożenie: aplikacja może być w stanie wykonać odcisk palca tożsamości użytkownika.

Opis: ten błąd naprawiono przez poprawienie redagowania poufnych informacji.

CVE-2025-24117: Michael (Biscuit) Thomas (@biscuit@social.lol)

Login Window

Dostępne dla: systemu macOS Sequoia

Zagrożenie: złośliwa aplikacja może być w stanie tworzyć łącza symboliczne do chronionych obszarów dysku.

Opis: ten błąd naprawiono przez poprawienie procedury sprawdzania poprawności łączy symbolicznych.

CVE-2025-24136: 云散

Messages

Dostępne dla: systemu macOS Sequoia

Zagrożenie: aplikacja może być w stanie uzyskać dostęp do poufnych danych użytkownika.

Opis: ten błąd naprawiono przez poprawienie redagowania poufnych informacji.

CVE-2025-24101: Kirin (@Pwnrin)

NSDocument

Dostępne dla: systemu macOS Sequoia

Zagrożenie: złośliwie spreparowana aplikacja może uzyskać dostęp do dowolnych plików.

Opis: ten problem rozwiązano przez poprawienie zarządzania stanem.

CVE-2025-24096: anonimowy badacz

PackageKit

Dostępne dla: systemu macOS Sequoia

Zagrożenie: lokalny atakujący może być w stanie podwyższyć swój poziom uprawnień.

Opis: ten błąd naprawiono przez ulepszenie sprawdzania.

CVE-2025-24099: Mickey Jin (@patch1t)

PackageKit

Dostępne dla: systemu macOS Sequoia

Zagrożenie: aplikacja może być w stanie zmodyfikować chronione części systemu plików.

Opis: ten błąd naprawiono przez ulepszenie sprawdzania.

CVE-2025-24130: Pedro Tôrres (@t0rr3sp3dr0)

Passwords

Dostępne dla: systemu macOS Sequoia

Zagrożenie: złośliwa aplikacja może być w stanie ominąć uwierzytelnianie rozszerzeń przeglądarki

Opis: naprawiono błąd rejestru przez ulepszenie redagowania danych.

CVE-2025-24169: Josh Parnham (@joshparnham)

Photos Storage

Dostępne dla: systemu macOS Sequoia

Zagrożenie: usunięcie konwersacji w Wiadomościach może spowodować ujawnienie informacji kontaktowych użytkownika w dzienniku systemowym

Opis: ten błąd naprawiono przez poprawienie redagowania poufnych informacji.

CVE-2025-24146: 神罚(@Pwnrin)

Safari

Dostępne dla: systemu macOS Sequoia

Zagrożenie: odwiedzenie złośliwej witryny internetowej może doprowadzić do sfałszowania paska adresu.

Opis: ten problem rozwiązano przez dodanie dodatkowych procedur logicznych.

CVE-2025-24128: @RenwaX23

Safari

Dostępne dla: systemu macOS Sequoia

Zagrożenie: odwiedzenie złośliwej witryny internetowej może doprowadzić do spreparowania interfejsu użytkownika.

Opis: ten błąd naprawiono przez ulepszenie interfejsu użytkownika.

CVE-2025-24113: @RenwaX23

SceneKit

Dostępne dla: systemu macOS Sequoia

Zagrożenie: analiza składni pliku może doprowadzić do ujawnienia informacji o użytkowniku.

Opis: naprawiono błąd odczytu spoza zakresu przez poprawienie mechanizmu sprawdzania ograniczeń.

CVE-2025-24149: Michael DePlante (@izobashi) w ramach programu Zero Day Initiative firmy Trend Micro

Security

Dostępne dla: systemu macOS Sequoia

Zagrożenie: aplikacja może być w stanie uzyskać dostęp do chronionych danych użytkownika.

Opis: ten błąd naprawiono przez poprawienie procedury sprawdzania poprawności łączy symbolicznych.

CVE-2025-24103: Zhongquan Li (@Guluisacat)

SharedFileList

Dostępne dla: systemu macOS Sequoia

Zagrożenie: aplikacja może być w stanie uzyskać dostęp do chronionych danych użytkownika.

Opis: usunięto błąd dostępu przez wprowadzenie dodatkowych ograniczeń piaskownicy.

CVE-2025-24108: anonimowy badacz

sips

Dostępne dla: systemu macOS Sequoia

Zagrożenie: analizowanie złośliwie spreparowanego pliku może spowodować nieoczekiwane zamknięcie aplikacji.

Opis: ten błąd naprawiono przez ulepszenie sprawdzania.

CVE-2025-24139: Hossein Lotfi (@hosselot) w ramach programu Zero Day Initiative firmy Trend Micro

SMB

Dostępne dla: systemu macOS Sequoia

Zagrożenie: aplikacja może być w stanie spowodować nieoczekiwane zamknięcie systemu lub uszkodzenie pamięci jądra.

Opis: ten błąd naprawiono przez ulepszenie obsługi pamięci.

CVE-2025-24151: anonimowy badacz

CVE-2025-24152: anonimowy badacz

SMB

Dostępne dla: systemu macOS Sequoia

Zagrożenie: aplikacja z uprawnieniami użytkownika root może być w stanie wykonać dowolny kod z uprawnieniami jądra.

Opis: usunięto błąd przepełnienia buforu przez poprawienie procedury obsługi pamięci.

CVE-2025-24153: anonimowy badacz

Spotlight

Dostępne dla: systemu macOS Sequoia

Zagrożenie: złośliwa aplikacja może być w stanie ujawnić poufne informacje użytkownika.

Opis: ten problem rozwiązano przez poprawienie zarządzania stanem.

CVE-2025-24138: Rodolphe BRUNETTI (@eisw0lf) z Lupus Nova

StorageKit

Dostępne dla: systemu macOS Sequoia

Zagrożenie: złośliwie spreparowana aplikacja może być w stanie uzyskać uprawnienia użytkownika root.

Opis: naprawiono błąd dotyczący uprawnień przez wprowadzenie dodatkowych ograniczeń.

CVE-2025-24107: anonimowy badacz

StorageKit

Dostępne dla: systemu macOS Sequoia

Zagrożenie: lokalny atakujący może być w stanie podwyższyć swój poziom uprawnień.

Opis: usunięto błąd uprawnień przez poprawienie procedury sprawdzania poprawności.

CVE-2025-24176: Yann GASCUEL z Alter Solutions

System Extensions

Dostępne dla: systemu macOS Sequoia

Zagrożenie: aplikacja może uzyskać podwyższony poziom uprawnień.

Opis: ten błąd usunięto przez poprawienie procedury sprawdzania poprawności wiadomości.

CVE-2025-24135: Arsenii Kostromin (0x3c3e)

Time Zone

Dostępne dla: systemu macOS Sequoia

Zagrożenie: aplikacja może być w stanie wyświetlić numer telefonu kontaktu w logach systemowych.

Opis: rozwiązano problem z prywatnością przez poprawienie redagowania prywatnych danych we wpisach dziennika.

CVE-2025-24145: Kirin (@Pwnrin)

TV App

Dostępne dla: systemu macOS Sequoia

Zagrożenie: aplikacja może być w stanie odczytać poufne informacje o lokalizacji.

Opis: ten błąd naprawiono przez ulepszenie ochrony danych.

CVE-2025-24092: Adam M.

WebContentFilter

Dostępne dla: systemu macOS Sequoia

Zagrożenie: atakujący może spowodować nieoczekiwane zamknięcie systemu lub uszkodzenie pamięci jądra

Opis: usunięto błąd zapisu poza zakresem przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2025-24154: anonimowy badacz

WebKit

Dostępne dla: systemu macOS Sequoia

Zagrożenie: złośliwie spreparowana strona internetowa może być w stanie wykonać odcisk palca tożsamości użytkownika.

Opis: problem został rozwiązany dzięki ulepszonym ograniczeniom dostępu do systemu plików.

CVE-2025-24143: anonimowy badacz

WebKit

Dostępne dla: systemu macOS Sequoia

Zagrożenie: przetworzenie zawartości internetowej może doprowadzić do ataku typu „odmowa usługi”.

Opis: ten błąd naprawiono przez ulepszenie obsługi pamięci.

CVE-2025-24158: Q1IQ (@q1iqF) z NUS CuriOSity i P1umer (@p1umer) z Imperial Global Singapore.

WebKit

Dostępne dla: systemu macOS Sequoia

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości www może doprowadzić do nieoczekiwanej awarii procesu.

Opis: ten problem rozwiązano przez poprawienie zarządzania stanem.

CVE-2025-24162: linjy z HKUS3Lab i chluo z WHUSecLab

WebKit Web Inspector

Dostępne dla: systemu macOS Sequoia

Zagrożenie: skopiowanie adresu URL z Inspektora www może doprowadzić do ataku typu command injection.

Opis: rozwiązano problem dotyczący prywatności przez ulepszenie obsługi plików.

CVE-2025-24150: Johan Carlsson (joaxcar)

WindowServer

Dostępne dla: systemu macOS Sequoia

Zagrożenie: osoba atakująca może być w stanie spowodować nieoczekiwane zakończenie działania aplikacji.

Opis: ten błąd naprawiono przez ulepszenie zarządzania okresami istnienia obiektów.

CVE-2025-24120: PixiePoint Security

Xsan

Dostępne dla: systemu macOS Sequoia

Zagrożenie: aplikacja może uzyskać podwyższony poziom uprawnień.

Opis: naprawiono błąd przekroczenia zakresu liczb całkowitych przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2025-24156: anonimowy badacz

Dodatkowe podziękowania

Audio

Dziękujemy za udzieloną pomoc: Threat Analysis Group firmy Google.

CoreAudio

Dziękujemy za udzieloną pomoc: Threat Analysis Group firmy Google.

CoreMedia Playback

Dziękujemy za udzieloną pomoc: Song Hyun Bae (@bshyuunn) i Lee Dong Ha (Who4mI).

DesktopServices

Dziękujemy anonimowemu badaczowi za pomoc.

Files

Dziękujemy za udzieloną pomoc: Chi Yuan Chang z ZUSO ART i taikosoup.

Passwords

Dziękujemy za udzieloną pomoc: Talal Haj Bakry i Tommy Mysk z Mysk Inc. @mysk_co.

sips

Dziękujemy za udzieloną pomoc: Hossein Lotfi (@hosselot) w ramach programu Zero Day Initiative firmy Trend Micro.

Static Linker

Dziękujemy za udzieloną pomoc: Holger Fuhrmannek.

VoiceOver

Dziękujemy za udzieloną pomoc: Bistrit Dahal, Dalibor Milanovic.