Apple je u srijedu izdao vanredna ažuriranja operativnog sistema kako bi ispravio dvije bezbjednosne greške za koje kompanija tvrdi da su već iskorišćene u „izuzetno sofisticiranim” napadima na mali broj ciljanih iOS uređaja.
Ranjivosti, označene kao CVE-2025-31200 i CVE-2025-31201, opisane su kao problemi koji omogućavaju izvršavanje koda i zaobilaženje bezbjednosnih zaštita, a pogađaju Apple-ove iOS, iPadOS i macOS platforme.
Apple je saopštio da je upoznat sa izvještajem da su obje greške bile dio napada visokog nivoa usmjerenih na specifične ciljne iPhone uređaje.
Opis softverskih propusta prema Apple-u:
- CoreAudio (CVE-2025-31200) — Obrada audio strima iz maliciozno izrađene medijske datoteke može dovesti do izvršavanja koda. Apple je upoznat sa izvještajem da je ovaj problem možda iskorišćen u izuzetno sofisticiranom napadu na specifične ciljne pojedince na iOS-u. Problem korupcije memorije riješen je poboljšanom provjerom granica. Kompanija je navela da je Google-ova TAG (Threat Analysis Group) prijavila ovaj problem.
- RPAC (CVE-2025-31201) — Napadač sa mogućnošću proizvoljnog čitanja i pisanja može biti u stanju da zaobiđe autentifikaciju pokazivača. Apple je upoznat sa izvještajem da je ovaj problem možda iskorišćen u izuzetno sofisticiranom napadu na specifične ciljne pojedince na iOS-u. Problem je riješen uklanjanjem ranjivog koda.
Autentifikacija pokazivača je bezbjednosna funkcija u određenim ARM arhitekturama koja pruža kriptografski jaku garanciju o vjerovatnoći da je pokazivač kompromitovan.
Ranjivosti su takođe zakrpljene na svim uređajima koji koriste macOS Sequoia, ali Apple napominje da je iskorišćavanje prijavljeno samo na ograničenom broju iPhone uređaja.
Kao što je uobičajeno, Apple nije objavio detalje niti indikatore kompromitacije (IOC) vezane za iskorišćavanje u stvarnom svijetu.
Izvor: SecurityWeek