Informace o bezpečnostním obsahu iOS 18.6 a iPadOS 18.6

Tento dokument popisuje bezpečnostní obsah iOS 18.6 a iPadOS 18.6.

Informace o bezpečnostních aktualizacích Apple

Apple v zájmu ochrany zákazníků nezveřejňuje, nekomentuje ani nepotvrzuje bezpečnostní problémy, dokud nejsou plně vyšetřené a nejsou k dispozici opravy nebo aktualizace. Nejnovější opravy najdete na stránce Bezpečnostní aktualizace Apple.

Pokud je to možné, bezpečnostní dokumenty Apple odkazují na bezpečnostní slabiny pomocí identifikátorů CVE-ID.

Podrobnější informace o zabezpečení najdete na stránce Zabezpečení produktů Apple.

iOS 18.6 a iPadOS 18.6

Vydáno 29. července 2025

Accessibility

K dispozici: iPhone XS a novější, 13palcový iPad Pro, 12,9palcový iPad Pro 3. generace a novější, 11palcový iPad Pro 1. generace a novější, iPad Air 3. generace a novější, iPad 7. generace a novější a iPad mini 5. generace a novější

Dopad: VoiceOver může nahlas přečíst přístupový kód.

Popis: Problém v logice byl vyřešen vylepšením kontrol.

CVE-2025-31229: Wong Wee Xiang

Accessibility

Dopad: Indikátory soukromí pro přístup mikrofonu nebo fotoaparátu se nemusí správně zobrazit.

Popis: Problém byl vyřešen přidáním další logiky.

CVE-2025-43217: Himanshu Bharti (@Xpl0itme)

afclip

Dopad: Parsování souboru může vést k neočekávanému ukončení aplikace.

Popis: Problém byl vyřešen vylepšením zpracování paměti.

CVE-2025-43186: Hossein Lotfi (@hosselot) z týmu Zero Day Initiative společnosti Trend Micro

CFNetwork

Dopad: Uživateli bez oprávnění se může podařit změnit omezená nastavení sítě.

Popis: Problém s odmítnutím služby byl vyřešen vylepšením vstupního ověřování.

CVE-2025-43223: Andreas Jaegersberger a Ro Achterberg z týmu Nosebeard Labs

CoreAudio

Dopad: Zpracování záměrně škodlivého zvukového souboru může vést k poškození paměti

Popis: Problém byl vyřešen vylepšením zpracování paměti.

CVE-2025-43277: Tým Threat Analysis Group společnosti Google

CoreMedia

Dopad: Zpracování škodlivého souboru médií může vést k neočekávanému ukončení aplikace nebo poškození paměti procesu.

Popis: Problém s přístupem mimo rozsah byl vyřešen vylepšením kontroly rozsahů.

CVE-2025-43210: Hossein Lotfi (@hosselot) z týmu Zero Day Initiative společnosti Trend Micro

CoreMedia Playback

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém byl vyřešen dalšími kontrolami oprávnění.

CVE-2025-43230: Chi Yuan Chang z týmu ZUSO ART a taikosoup

ICU

Dopad: Zpracování škodlivého webového obsahu může vést k nečekanému pádu Safari.

Popis: Problém s přístupem mimo rozsah byl vyřešen vylepšením kontroly rozsahů.

CVE-2025-43209: Gary Kwong spolupracující s týmem Zero Day Initiative společnosti Trend Micro

ImageIO

Dopad: Zpracování škodlivého obrázku může vést k odhalení paměti procesu.

Popis: Problém se čtením mimo rozsah byl vyřešen vylepšením ověřování vstupů.

CVE-2025-43226

libnetcore

Dopad: Zpracování souboru může vést k poškození paměti

Popis: Problém byl vyřešen vylepšením zpracování paměti.

CVE-2025-43202: Brian Carpenter

libxml2

Dopad: Zpracování souboru může vést k poškození paměti

Popis: Jedná se o slabinu v open source kódu, která má vliv i na software Apple. Identifikátor CVE-ID byl přiřazen třetí stranou. Další informace o problému a identifikátoru CVE-ID najdete na cve.org.

CVE-2025-7425: Sergei Glazunov z týmu Project Zero společnosti Google

libxslt

Dopad: Zpracování škodlivého webového obsahu může vést k poškození paměti.

CVE-2025-7424: Ivan Fratric z týmu Google Project Zero

Mail Drafts

Dopad: Vzdálený obsah se může načíst, přestože je vypnutá volba Načíst vzdálené obrázky.

Popis: Problém byl vyřešen vylepšením správy stavů.

CVE-2025-31276: Himanshu Bharti (@Xpl0itme)

Metal

Dopad: Zpracování škodlivé textury může vést k neočekávanému ukončení aplikace.

Popis: Několik problémů s poškozením paměti bylo vyřešeno vylepšením ověřování vstupů.

CVE-2025-43234: Vlad Stolyarov z týmu Threat Analysis Group společnosti Google

Model I/O

Dopad: Zpracování škodlivého souboru médií může vést k neočekávanému ukončení aplikace nebo poškození paměti procesu.

Popis: Problém s přístupem mimo rozsah byl vyřešen vylepšením kontroly rozsahů.

CVE-2025-43224: Michael DePlante (@izobashi) z týmu Zero Day Initiative společnosti Trend Micro

CVE-2025-43221: Michael DePlante (@izobashi) z týmu Zero Day Initiative společnosti Trend Micro

Model I/O

Dopad: Zpracování škodlivého souboru může vést k neočekávanému ukončení aplikace.

Popis: Problém s ověřováním vstupů byl vyřešen vylepšením správy paměti.

CVE-2025-31281: Michael DePlante (@izobashi) z týmu Zero Day Initiative společnosti Trend Micro

WebKit

Dopad: Návštěva škodlivého webu může vést ke zfalšování řádku s adresou.

Popis: Problém byl vyřešen vylepšením uživatelského rozhraní.

WebKit Bugzilla: 294374

CVE-2025-43228: Jaydev Ahire

WebKit

Dopad: Zpracování škodlivého webového obsahu může vést k odhalení citlivých uživatelských informací.

Popis: Problém byl vyřešen vylepšením správy stavů.

WebKit Bugzilla: 292888

CVE-2025-43227: Gilad Moav

WebKit

Dopad: Zpracování škodlivého webového obsahu může vést k poškození paměti.

Popis: Problém byl vyřešen vylepšením zpracování paměti.

WebKit Bugzilla: 291742

CVE-2025-31278: Yuhao Hu, Yan Kang, Chenggang Wu a Xiaojie Wei

WebKit Bugzilla: 291745

CVE-2025-31277: Yuhao Hu, Yan Kang, Chenggang Wu a Xiaojie Wei

WebKit Bugzilla: 293579

CVE-2025-31273: Yuhao Hu, Yan Kang, Chenggang Wu a Xiaojie Wei

WebKit

Dopad: Zpracování škodlivého webového obsahu může vést k nečekanému pádu Safari.

Popis: Problém byl vyřešen vylepšením zpracování paměti.

WebKit Bugzilla: 292599

CVE-2025-43214: shandikri spolupracující s týmem Zero Day Initiative společnosti Trend Micro, tým V8 Security Team společnosti Google

WebKit Bugzilla: 292621

CVE-2025-43213: tým Google V8 Security Team

WebKit Bugzilla: 293197

CVE-2025-43212: Nan Wang (@eternalsakura13) a Ziling Chen

WebKit

Dopad: Zpracování webového obsahu může vést k odepření služby.

Popis: Problém byl vyřešen vylepšením zpracování paměti.

WebKit Bugzilla: 293730

CVE-2025-43211: Yuhao Hu, Yan Kang, Chenggang Wu a Xiaojie Wei

WebKit

Dopad: Zpracování škodlivého obsahu webu může odhalit vnitřní stavy aplikace.

Popis: Problém se čtením mimo rozsah byl vyřešen vylepšením ověřování vstupů.

WebKit Bugzilla: 294182

CVE-2025-43265: HexRabbit (@h3xr4bb1t) z týmu DEVCORE Research Team

WebKit

Dopad: Zpracování škodlivého webového obsahu může vést k nečekanému pádu Safari.

Popis: Problém s použitím paměti po uvolnění byl vyřešen vylepšením správy paměti.

WebKit Bugzilla: 295382

CVE-2025-43216: Ignacio Sanmillan (@ulexec)

WebKit

Dopad: Zpracování škodlivého webového obsahu může vést k nečekanému pádu Safari.

WebKit Bugzilla: 296459

CVE-2025-6558: Clément Lecigne a Vlad Stolyarov z týmu Threat Analysis Group společnosti Google

Další poděkování

Accessibility

Poděkování za pomoc zaslouží Abhay Kailasia (@abhay_kailasia) ze společnosti C-DAC Thiruvananthapuram India, Hamza BHP, Himanshu Bharti (@Xpl0itme).

Activation Lock

Poděkování za pomoc zaslouží salemdomain.

Bluetooth

Poděkování za pomoc si zaslouží LIdong LI, Xiao Wang, Shao Dong Chen a Chao Tan z týmu Source Guard.

CoreAudio

Poděkování za pomoc si zaslouží Noah Weinberg.

Device Management

Poděkování za pomoc si zaslouží Al Karak.

libxml2

Poděkování za pomoc si zaslouží Sergei Glazunov z týmu Project Zero společnosti Google.

libxslt

Poděkování za pomoc zaslouží Ivan Fratric z týmu Google Project Zero.

Managed Configuration

Poděkování za pomoc zaslouží Bill Marczak z týmu Citizen Lab v University of Toronto’s Munk School.

Photos

Poděkování za pomoc zaslouží anonymní výzkumník.

Safari

Poděkování za pomoc zaslouží Ameen Basha M K.

Shortcuts

Poděkování za pomoc si zaslouží Dennis Kniep.

Siri

Poděkování za pomoc zaslouží Timo Hetzel.

WebKit

Poděkování za pomoc zaslouží Google V8 Security Team, Yuhao Hu, Yan Kang, Chenggang Wu a Xiaojie Wei, rheza (@ginggilBesel).

Informace o produktech, které nevyrábí Apple, a o nezávislých webech, které Apple nemá pod kontrolou a netestuje je, jsou poskytovány bez doporučení nebo záruky za jejich obsah. Apple v souvislosti s výběrem, výkonem nebo použitím webů nebo produktů třetích stran nepřebírá žádnou odpovědnost. Apple nijak nezaručuje přesnost nebo spolehlivost webů třetích stran. Další informace vám poskytne příslušný výrobce.

Datum zveřejnění: 01. srpna 2025