Ranljivost ničelnega dne CVE-2025-43300

Apple je izdal kritične varnostne posodobitve, s katerimi je odpravil visoko tvegano ranljivost ničelnega dne, ki je bila označena kot CVE-2025-43300. Napaka, ki so jo našli v ogrodju ImageIO, je bila potrjena kot aktivno izkoriščena in predstavlja resno grožnjo uporabnikom sistemov iOS, iPadOS in macOS.

Kako deluje ranljivost

Ranljivost CVE-2025-43300 je razvrščena kot ranljivost pisanja izven meja. Težava nastane, ko ImageIO obdela zlonamerno izdelano sliko, kar povzroči poškodbo pomnilnika. Ta vrsta napake napadalcem omogoča manipulacijo sistemskega pomnilnika na nevarne načine, kar jim lahko omogoči zmožnosti oddaljenega izvajanja kode ali dostop do občutljivih podatkov.

Apple je priznal, da je bila ranljivost del "izjemno sofisticiranih" napadov na ciljne posameznike, in poudaril njeno uporabo v naprednih kampanjah izkoriščanja.

Kdo je v nevarnosti?

Napaka prizadene široko paleto Applovih naprav, vključno s sodobnimi iPhoni, iPadi in Maci. Čeprav Apple ni razkril, kdo so napadalci ali identitete njihovih tarč, izkoriščanje kaže, da za kampanjo stojijo dobro opremljeni akterji grožnje, morda skupine, ki jih sponzorira država.

Na voljo so popravljene različice

Apple je odpravil napako CVE-2025-43300 z izboljšanim preverjanjem meja in izdal posodobitve za vse podprte sisteme. Uporabnikom toplo priporočamo nadgradnjo na naslednje različice:

• iOS 18.6.2 in iPadOS 18.6.2 – iPhone XS in novejši, iPad Pro (13-palčni, 12,9-palčni 3. generacije+, 11-palčni 1. generacije+), iPad Air 3. generacije+, iPad 7. generacije+, iPad mini 5. generacije+.
• iPadOS 17.7.10 – iPad Pro 12,9-palčni 2. gen, iPad Pro 10,5-palčni, iPad 6. gen.
• macOS Ventura 13.7.8 – naprave z operacijskim sistemom Ventura.
• macOS Sonoma 14.7.8 – naprave s sistemom Sonoma.
• macOS Sequoia 15.6.1 – naprave s sistemom Sequoia.

Naraščajoči seznam izkoriščenih ničelnih dni

CVE-2025-43300 ni osamljen incident. Apple je od začetka leta odpravil sedem izkoriščenih ničelnih dni virusov:

• CVE-2025-24085
• CVE-2025-24200
• CVE-2025-24201

• CVE-2025-31200

• CVE-2025-31201

• CVE-2025-43200

• CVE-2025-43300

Poleg tega je Apple pred kratkim odpravil napako v brskalniku Safari (CVE-2025-6558), povezano z odprtokodno komponento, ki je bila v brskalniku Google Chrome že zlorabljena kot napaka nič-day.

Zakaj so te ranljivosti pomembne

Izkoriščanje ničelnega dne (zero-day exploits) je med najnevarnejšimi grožnjami v kibernetski varnosti, saj jih napadalci izkoristijo, še preden so popravki javno dostopni. Ko so napake, kot je CVE-2025-43300, povezane s ciljno usmerjenimi vohunskimi kampanjami, predstavljajo tveganje ne le za posameznike, temveč tudi za podjetja, vlade in kritično infrastrukturo.

Ostati zaščiten

Uporabniki bi morali:

• Takoj posodobite na najnovejšo popravljeno različico.
• Izogibajte se odpiranju neželenih slikovnih datotek ali vsebine iz neznanih virov.
• Omogočite samodejne posodobitve, da zmanjšate okna izpostavljenosti grožnjam ničelnega dne.

Z odpravo napake CVE-2025-43300 Apple pomaga zmanjšati površino za napad, vendar je obstoj te izkoriščanja opomnik, da vztrajni in prefinjeni nasprotniki nenehno iščejo nove vstopne točke.