CVE-2025-43300 Nulles dienas ievainojamība

Apple ir izlaidis kritiskus drošības atjauninājumus, lai novērstu augsta riska nulles dienas ievainojamību, kas atzīmēta ar numuru CVE-2025-43300. Ir apstiprināts, ka šī ImageIO ietvarā atrastā nepilnība tiek aktīvi izmantota, radot nopietnus draudus iOS, iPadOS un macOS lietotājiem.

Kā darbojas ievainojamība

CVE-2025-43300 ir klasificēta kā rakstīšanas ievainojamība ārpus robežām. Problēma rodas, kad ImageIO apstrādā ļaunprātīgi izveidotu attēlu, kā rezultātā tiek bojāta atmiņa. Šāda veida trūkums ļauj uzbrucējiem manipulēt ar sistēmas atmiņu nedrošā veidā, potenciāli piešķirot viņiem attālinātas koda izpildes iespējas vai piekļuvi sensitīviem datiem.

Apple ir atzinis, ka šī ievainojamība bija daļa no “ārkārtīgi sarežģītiem” uzbrukumiem pret mērķētām personām, uzsverot tās izmantošanu progresīvās ekspluatācijas kampaņās.

Kurš ir pakļauts riskam?

Šī kļūda ietekmē plašu Apple ierīču klāstu, tostarp mūsdienu iPhone, iPad un Mac. Lai gan Apple nav atklājis uzbrucēju identitāti vai mērķu identitāti, šī kļūda liecina, ka aiz kampaņas stāv labi nodrošināti apdraudējumu izraisoši dalībnieki, iespējams, valsts sponsorētas grupas.

Pieejamas ielāpu versijas

Apple novērsa CVE-2025-43300 kļūdu, uzlabojot robežu pārbaudi un izlaižot atjauninājumus atbalstītajās sistēmās. Lietotājiem stingri ieteicams jaunināt uz šādām versijām:

• iOS 18.6.2 un iPadOS 18.6.2 – iPhone XS un jaunāki modeļi, iPad Pro (13 collu, 12,9 collu 3. paaudze+, 11 collu 1. paaudze+), iPad Air 3. paaudze+, iPad 7. paaudze+, iPad mini 5. paaudze+.
• iPadOS 17.7.10 — iPad Pro 12,9 collu 2. paaudze, iPad Pro 10,5 collu, iPad 6. paaudze.
• macOS Ventura 13.7.8 – ierīces, kurās darbojas Ventura.
• macOS Sonoma 14.7.8 – ierīces, kurās darbojas Sonoma.
• macOS Sequoia 15.6.1 – ierīces, kurās darbojas Sequoia.

Pieaugošais izmantoto nulles dienu saraksts

CVE-2025-43300 nav atsevišķs gadījums. Kopš gada sākuma Apple ir novērsis septiņas izmantotās nulles dienas kļūdas:

• CVE-2025-24085
• CVE-2025-24200
• CVE-2025-24201

• CVE-2025-31200

• CVE-2025-31201

• CVE-2025-43200

• CVE-2025-43300

Turklāt Apple nesen novērsa Safari kļūdu (CVE-2025-6558), kas bija saistīta ar atvērtā pirmkoda komponentu, kurš jau iepriekš bija ļaunprātīgi izmantots kā nulles dienas kļūda pārlūkprogrammā Google Chrome.

Kāpēc šīs ievainojamības ir svarīgas

Nulles dienas ievainojamības ir vieni no bīstamākajiem kiberdrošības apdraudējumiem, jo uzbrucēji tās izmanto, pirms ielāpi ir publiski pieejami. Ja tādi trūkumi kā CVE-2025-43300 ir saistīti ar mērķtiecīgām spiegošanas kampaņām, tie rada riskus ne tikai privātpersonām, bet arī uzņēmumiem, valdībām un kritiskajai infrastruktūrai.

Aizsardzības saglabāšana

Lietotājiem vajadzētu:

• Nekavējoties atjauniniet uz jaunāko ielāpu versiju.
• Izvairieties atvērt nevēlamus attēlu failus vai saturu no nezināmiem avotiem.
• Iespējojiet automātiskos atjauninājumus, lai samazinātu nulles dienas apdraudējumu iedarbības periodus.

Nekavējoties risinot CVE-2025-43300 problēmu, Apple palīdz samazināt uzbrukuma virsmu, taču šīs izmantošanas esamība atgādina, ka neatlaidīgi un sarežģīti pretinieki pastāvīgi meklē jaunus piekļuves punktus.