Informace o bezpečnostním obsahu iOS 18.6 a iPadOS 18.6

Tento dokument popisuje bezpečnostní obsah iOS 18.6 a iPadOS 18.6.

Informace o bezpečnostních aktualizacích Apple

Apple v zájmu ochrany zákazníků nezveřejňuje, nekomentuje ani nepotvrzuje bezpečnostní problémy, dokud nejsou plně vyšetřené a nejsou k dispozici opravy nebo aktualizace. Nejnovější opravy najdete na stránce Bezpečnostní aktualizace Apple.

Pokud je to možné, bezpečnostní dokumenty Apple odkazují na bezpečnostní slabiny pomocí identifikátorů CVE-ID.

Podrobnější informace o zabezpečení najdete na stránce Zabezpečení produktů Apple.

iOS 18.6 a iPadOS 18.6

Vydáno 29. července 2025

Accessibility

K dispozici: iPhone XS a novější, 13palcový iPad Pro, 12,9palcový iPad Pro 3. generace a novější, 11palcový iPad Pro 1. generace a novější, iPad Air 3. generace a novější, iPad 7. generace a novější a iPad mini 5. generace a novější

Dopad: VoiceOver může nahlas přečíst přístupový kód.

Popis: Problém v logice byl vyřešen vylepšením kontrol.

CVE-2025-31229: Wong Wee Xiang

Accessibility

Dopad: Indikátory soukromí pro přístup k mikrofonu nebo fotoaparátu se nemusí zobrazovat správně.

Popis: Problém byl vyřešen přidáním další logiky.

CVE-2025-43217: Himanshu Bharti (@Xpl0itme)

afclip

Dopad: Parsování souboru může vést k neočekávanému ukončení aplikace.

Popis: Problém byl vyřešen vylepšením zpracování paměti.

CVE-2025-43186: Hossein Lotfi (@hosselot) z týmu Zero Day Initiative společnosti Trend Micro

CFNetwork

Dopad: Uživateli bez oprávnění se může podařit změnit omezená nastavení sítě.

Popis: Problém s odmítnutím služby byl vyřešen vylepšením vstupního ověřování.

CVE-2025-43223: Andreas Jaegersberger a Ro Achterberg z Nosebeard Labs

CoreAudio

Dopad: Zpracování škodlivého zvukového souboru může vést k poškození paměti.

Popis: Problém byl vyřešen vylepšením zpracování paměti.

CVE-2025-43277: Google Threat Analysis Group

CoreMedia

Dopad: Zpracování škodlivého souboru médií může vést k neočekávanému ukončení aplikace nebo poškození paměti procesu.

Popis: Problém s přístupem mimo rozsah byl vyřešen vylepšením kontroly rozsahů.

CVE-2025-43210: Hossein Lotfi (@hosselot) z týmu Zero Day Initiative společnosti Trend Micro

CoreMedia Playback

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém byl vyřešen dalšími kontrolami oprávnění.

CVE-2025-43230: Chi Yuan Chang z týmu ZUSO ART a taikosoup

ICU

Dopad: Zpracování škodlivého webového obsahu může vést k nečekanému pádu Safari.

Popis: Problém s přístupem mimo rozsah byl vyřešen vylepšením kontroly rozsahů.

CVE-2025-43209: Gary Kwong ve spolupráci se Zero Day Initiative společnosti Trend Micro

ImageIO

Dopad: Zpracování škodlivého obrázku může vést k odhalení paměti procesu.

Popis: Problém se čtením mimo rozsah byl vyřešen vylepšením ověřování vstupů.

CVE-2025-43226

Kernel

Dopad: Aplikace může způsobit neočekávané ukončení systému.

Popis: Problém s dvojitým uvolněním paměti byl vyřešen vylepšením správy paměti.

CVE-2025-43282: Christian Kohlschütter

Záznam přidán 15. října 2025

libnetcore

Dopad: Zpracování souboru může vést k poškození paměti

Popis: Problém byl vyřešen vylepšením zpracování paměti.

CVE-2025-43202: Brian Carpenter

libxml2

Dopad: Zpracování souboru může vést k poškození paměti

Popis: Jedná se o slabinu v open source kódu, která má vliv i na software Apple. Identifikátor CVE-ID byl přiřazen třetí stranou. Další informace o problému a identifikátoru CVE-ID najdete na cve.org.

CVE-2025-7425: Sergei Glazunov z týmu Project Zero společnosti Google

libxslt

Dopad: Zpracování škodlivého webového obsahu může vést k poškození paměti.

CVE-2025-7424: Ivan Fratric z týmu Project Zero společnosti Google

Mail Drafts

Dopad: Vzdálený obsah se může načítat, i když je volba „Načíst vzdálené obrázky“ vypnutá.

Popis: Problém byl vyřešen vylepšením správy stavů.

CVE-2025-31276: Himanshu Bharti (@Xpl0itme)

Mail Drafts

Dopad: Při přeposílání e-mailu se v aplikaci Mail v režimu blokování můžou zobrazit vzdálené obrázky.

Popis: Problém byl vyřešen tím, že se vzdálené obrázky už nenačítají.

CVE-2025-43280: Himanshu Bharti @Xpl0itme

Záznam přidán 15. října 2025

Metal

Dopad: Zpracování škodlivé textury může vést k neočekávanému ukončení aplikace.

Popis: Několik problémů s poškozením paměti bylo vyřešeno vylepšením ověřování vstupů.

CVE-2025-43234: Vlad Stolyarov z Google Threat Analysis Group

Model I/O

Dopad: Zpracování škodlivého souboru médií může vést k neočekávanému ukončení aplikace nebo poškození paměti procesu.

Popis: Problém s přístupem mimo rozsah byl vyřešen vylepšením kontroly rozsahů.

CVE-2025-43224: Michael DePlante (@izobashi) z týmu Zero Day Initiative společnosti Trend Micro

CVE-2025-43221: Michael DePlante (@izobashi) z týmu Zero Day Initiative společnosti Trend Micro

Model I/O

Dopad: Zpracování škodlivého souboru může vést k neočekávanému ukončení aplikace.

Popis: Problém s ověřováním vstupů byl vyřešen vylepšením správy paměti.

CVE-2025-31281: Michael DePlante (@izobashi) z týmu Zero Day Initiative společnosti Trend Micro

SQLite

Dopad: Zpracování souboru může vést k poškození paměti

CVE-2025-6965

Záznam přidán 15. října 2025

WebKit

Dopad: Návštěva škodlivého webu může vést ke zfalšování řádku s adresou.

Popis: Problém byl vyřešen vylepšením uživatelského rozhraní.

WebKit Bugzilla: 294374

CVE-2025-43228: Jaydev Ahire

WebKit

Dopad: Zpracování škodlivého webového obsahu může vést k odhalení citlivých uživatelských informací.

Popis: Problém byl vyřešen vylepšením správy stavů.

WebKit Bugzilla: 292888

CVE-2025-43227: Gilad Moav, Yehuda Afek, Anat Bremler-Barr a Amit Klein

Záznam aktualizován 15. října 2025

WebKit

Dopad: Zpracování škodlivého webového obsahu může vést k poškození paměti.

Popis: Problém byl vyřešen vylepšením zpracování paměti.

WebKit Bugzilla: 291742

CVE-2025-31278: Yuhao Hu, Yan Kang, Chenggang Wu a Xiaojie Wei

WebKit Bugzilla: 291745

CVE-2025-31277: Yuhao Hu, Yan Kang, Chenggang Wu a Xiaojie Wei

WebKit Bugzilla: 293579

CVE-2025-31273: Yuhao Hu, Yan Kang, Chenggang Wu a Xiaojie Wei

WebKit

Dopad: Zpracování škodlivého webového obsahu může vést k nečekanému pádu Safari.

Popis: Problém byl vyřešen vylepšením zpracování paměti.

WebKit Bugzilla: 292599

CVE-2025-43214: shandikri spolupracující s týmem Zero Day Initiative společnosti Trend Micro, tým V8 Security Team společnosti Google

WebKit Bugzilla: 292621

CVE-2025-43213: Tým V8 Security Team společnosti Google

WebKit Bugzilla: 293197

CVE-2025-43212: Nan Wang (@eternalsakura13) a Ziling Chen

WebKit

Dopad: Zpracování webového obsahu může vést k odepření služby.

Popis: Problém byl vyřešen vylepšením zpracování paměti.

WebKit Bugzilla: 293730

CVE-2025-43211: Yuhao Hu, Yan Kang, Chenggang Wu a Xiaojie Wei

WebKit

Dopad: Zpracování škodlivého obsahu webu může odhalit vnitřní stavy aplikace.

Popis: Problém se čtením mimo rozsah byl vyřešen vylepšením ověřování vstupů.

WebKit Bugzilla: 294182

CVE-2025-43265: HexRabbit (@h3xr4bb1t) z týmu DEVCORE Research Team

WebKit

Dopad: Zpracování škodlivého webového obsahu může vést k nečekanému pádu Safari.

Popis: Problém s použitím paměti po uvolnění byl vyřešen vylepšením správy paměti.

WebKit Bugzilla: 295382

CVE-2025-43216: Ignacio Sanmillan (@ulexec)

WebKit

Dopad: Zpracování škodlivého webového obsahu může vést k nečekanému pádu Safari.

WebKit Bugzilla: 296459

CVE-2025-6558: Clément Lecigne a Vlad Stolyarov z týmu Threat Analysis Group společnosti Google

Další poděkování

Accessibility

Poděkování za pomoc zaslouží Abhay Kailasia (@abhay_kailasia) ze společnosti C-DAC Thiruvananthapuram India, Hamza BHP, Himanshu Bharti (@Xpl0itme).

Activation Lock

Poděkování za pomoc zaslouží salemdomain.

Bluetooth

Poděkování za pomoc zaslouží Gary Kwong LIdong LI, Xiao Wang, Shao Dong Chen a Chao Tan z týmu Source Guard.

CoreAudio

Poděkování za pomoc zaslouží Noah Weinberg.

Device Management

Poděkování za pomoc zaslouží Al Karak.

libxml2

Poděkování za pomoc si zaslouží Sergei Glazunov z týmu Project Zero společnosti Google.

libxslt

Poděkování za pomoc zaslouží Ivan Fratric z týmu Google Project Zero.

Managed Configuration

Poděkování za pomoc zaslouží Bill Marczak z týmu Citizen Lab v University of Toronto’s Munk School.

MobileGestalt

Poděkování za pomoc zaslouží Hana Kim (@hanakim3945) ze společnosti XiguaSec.

Záznam přidán 15. října 2025

Photos

Poděkování za pomoc zaslouží Chaojie Peng (彭超杰), Dalibor Milanovic.

Záznam aktualizován 15. října 2025

Safari

Poděkování za pomoc zaslouží Ameen Basha M K.

Shortcuts

Poděkování za pomoc zaslouží Dennis Kniep.

Siri

Poděkování za pomoc zaslouží Timo Hetzel.

WebKit

Poděkování za pomoc si zaslouží tým V8 Security Team společnosti Google, Yuhao Hu, Yan Kang, Chenggang Wu a Xiaojie Wei a rheza (@ginggilBesel).

Informace o produktech, které nevyrábí Apple, a o nezávislých webech, které Apple nemá pod kontrolou a netestuje je, jsou poskytovány bez doporučení nebo záruky za jejich obsah. Apple v souvislosti s výběrem, výkonem nebo použitím webů nebo produktů třetích stran nepřebírá žádnou odpovědnost. Apple nijak nezaručuje přesnost nebo spolehlivost webů třetích stran. Další informace vám poskytne příslušný výrobce.

Datum zveřejnění: 23. října 2025