Apple усуває новий нульовий дефект, що використовувався в цілеспрямованих атаках

Apple випустила термінові оновлення для виправлення ще однієї уразливості нульового дня, яка була використана в “надзвичайно складній атаці”.

Уразливість, що отримала номер CVE-2025-43300, пов’язана з недоліком записи поза межами, виявленим дослідниками безпеки Apple у фреймворку Image I/O, що дозволяє додаткам читати та записувати більшість форматів зображень.

Запис поза межами відбувається, коли зловмисники успішно використовують такі уразливості, постачаючи введення в програму, що спричиняє запис даних за межами виділеної пам’яті, що може призвести до аварійного завершення програми, пошкодження даних або, у найгіршому випадку, дозволити віддалене виконання коду.

“Apple відома про повідомлення, що ця проблема може бути використана в надзвичайно складній атаці проти конкретних цілей,” зазначила компанія в інформаційних бюлетенях з безпеки, опублікованих у середу.

“Проблема запису поза межами була виправлена завдяки покращенню перевірки меж. Обробка зловмисного зображення може призвести до пошкодження пам’яті.”

Apple усунула цю проблему з покращеною перевіркою меж для iOS 18.6.2, iPadOS 18.6.2, iPadOS 17.7.10, macOS Sequoia 15.6.1, macOS Sonoma 14.7.8 та macOS Ventura 13.7.8.

Повний список пристроїв, які підпадають під дію цієї уразливості, досить широкий, адже баг спостерігається на як старих, так і нових моделях, включаючи:

• iPhone XS та новіші,
• iPad Pro 13-дюймовий, iPad Pro 12.9-дюймовий 3-го покоління та новіші, iPad Pro 11-дюймовий 1-го покоління та новіші, iPad Air 3-го покоління та новіші, iPad 7-го покоління та новіші, iPad mini 5-го покоління та новіші, iPad Pro 12.9-дюймовий 2-го покоління, iPad Pro 10.5-дюймовий та iPad 6-го покоління,
• а також Macs, що працюють на macOS Sequoia, Sonoma і Ventura.

Компанія поки що не вказала, чи належить виявлення одній з її дослідників, і не опублікувала подробиць про атаки, які вона описала як “надзвичайно складні”.

Хоча ця уразливість, ймовірно, використовується лише в цілеспрямованих атаках, настійно рекомендується своєчасно встановити сьогоднішні оновлення безпеки, щоб запобігти можливим триваючим атакам.

З початку року Apple виправила вже шість уразливостей нульового дня, які експлуатувалися в реальних умовах, перша з яких була в січні (CVE-2025-24085), друга – в лютому (CVE-2025-24200), третя – у березні (CVE-2025-24201), і ще дві в квітні (CVE-2025-31200 та CVE-2025-31201).

У 2024 році компанія усунула шість інших активно експлуатованих уразливостей: одну в січні, дві в березні, четверту в травні та ще дві в листопаді.