Informace o bezpečnostním obsahu visionOS 2.6

Tento dokument popisuje bezpečnostní obsah visionOS 2.6.

Informace o bezpečnostních aktualizacích Apple

Apple v zájmu ochrany zákazníků nezveřejňuje, nekomentuje ani nepotvrzuje bezpečnostní problémy, dokud nejsou plně vyšetřené a nejsou k dispozici opravy nebo aktualizace. Nejnovější opravy najdete na stránce Bezpečnostní aktualizace Apple.

Pokud je to možné, bezpečnostní dokumenty Apple odkazují na bezpečnostní slabiny pomocí identifikátorů CVE-ID.

Podrobnější informace o zabezpečení najdete na stránce Zabezpečení produktů Apple.

visionOS 2.6

afclip

K dispozici pro: Apple Vision Pro

Dopad: Parsování souboru může vést k neočekávanému ukončení aplikace.

Popis: Problém byl vyřešen vylepšením zpracování paměti.

CVE-2025-43186: Hossein Lotfi (@hosselot) z týmu Zero Day Initiative společnosti Trend Micro

CFNetwork

K dispozici pro: Apple Vision Pro

Dopad: Uživateli bez oprávnění se může podařit změnit omezená nastavení sítě.

Popis: Problém s odmítnutím služby byl vyřešen vylepšením vstupního ověřování.

CVE-2025-43223: Andreas Jaegersberger a Ro Achterberg z Nosebeard Labs

CoreAudio

K dispozici pro: Apple Vision Pro

Dopad: Zpracování škodlivého zvukového souboru může vést k poškození paměti.

Popis: Problém byl vyřešen vylepšením zpracování paměti.

CVE-2025-43277: Google Threat Analysis Group

CoreMedia

K dispozici pro: Apple Vision Pro

Dopad: Zpracování škodlivého souboru médií může vést k neočekávanému ukončení aplikace nebo poškození paměti procesu.

Popis: Problém s přístupem mimo rozsah byl vyřešen vylepšením kontroly rozsahů.

CVE-2025-43210: Hossein Lotfi (@hosselot) z týmu Zero Day Initiative společnosti Trend Micro

CoreMedia Playback

K dispozici pro: Apple Vision Pro

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém byl vyřešen dalšími kontrolami oprávnění.

CVE-2025-43230: Chi Yuan Chang z týmu ZUSO ART a taikosoup

ICU

K dispozici pro: Apple Vision Pro

Dopad: Zpracování škodlivého webového obsahu může vést k nečekanému pádu Safari.

Popis: Problém s přístupem mimo rozsah byl vyřešen vylepšením kontroly rozsahů.

CVE-2025-43209: Gary Kwong ve spolupráci se Zero Day Initiative společnosti Trend Micro

ImageIO

K dispozici pro: Apple Vision Pro

Dopad: Zpracování škodlivého obrázku může vést k odhalení paměti procesu.

Popis: Problém se čtením mimo rozsah byl vyřešen vylepšením ověřování vstupů.

CVE-2025-43226

libxml2

K dispozici pro: Apple Vision Pro

Dopad: Zpracování souboru může vést k poškození paměti.

Popis: Jedná se o slabinu v open source kódu, která má vliv i na software Apple. Identifikátor CVE-ID byl přiřazen třetí stranou. Další informace o problému a identifikátoru CVE-ID najdete na cve.org.

CVE-2025-7425: Sergei Glazunov z týmu Google Project Zero

libxslt

K dispozici pro: Apple Vision Pro

Dopad: Zpracování škodlivého webového obsahu může vést k poškození paměti.

Popis: Jedná se o slabinu v open source kódu, která má vliv i na software Apple. Identifikátor CVE-ID byl přiřazen třetí stranou. Další informace o problému a identifikátoru CVE-ID najdete na cve.org.

CVE-2025-7424: Ivan Fratric z týmu Google Project Zero

Metal

K dispozici pro: Apple Vision Pro

Dopad: Zpracování škodlivé textury může vést k neočekávanému ukončení aplikace.

Popis: Několik problémů s poškozením paměti bylo vyřešeno vylepšením ověřování vstupů.

CVE-2025-43234: Vlad Stolyarov z Google Threat Analysis Group

Model I/O

K dispozici pro: Apple Vision Pro

Dopad: Zpracování škodlivého souboru médií může vést k neočekávanému ukončení aplikace nebo poškození paměti procesu.

Popis: Problém s přístupem mimo rozsah byl vyřešen vylepšením kontroly rozsahů.

CVE-2025-43224: Michael DePlante (@izobashi) z týmu Zero Day Initiative společnosti Trend Micro

CVE-2025-43221: Michael DePlante (@izobashi) z týmu Zero Day Initiative společnosti Trend Micro

Model I/O

K dispozici pro: Apple Vision Pro

Dopad: Zpracování škodlivého souboru může vést k neočekávanému ukončení aplikace.

Popis: Problém s ověřováním vstupů byl vyřešen vylepšením správy paměti.

CVE-2025-31281: Michael DePlante (@izobashi) z týmu Zero Day Initiative společnosti Trend Micro

WebKit

K dispozici pro: Apple Vision Pro

Dopad: Zpracování škodlivého webového obsahu může vést k odhalení citlivých uživatelských informací.

Popis: Problém byl vyřešen vylepšením správy stavů.

CVE-2025-43227: Gilad Moav

WebKit

K dispozici pro: Apple Vision Pro

Dopad: Zpracování škodlivého webového obsahu může vést k poškození paměti.

Popis: Problém byl vyřešen vylepšením zpracování paměti.

CVE-2025-31278: Yuhao Hu, Yan Kang, Chenggang Wu a Xiaojie Wei

CVE-2025-31277: Yuhao Hu, Yan Kang, Chenggang Wu a Xiaojie Wei

CVE-2025-31273: Yuhao Hu, Yan Kang, Chenggang Wu a Xiaojie Wei

WebKit

K dispozici pro: Apple Vision Pro

Dopad: Zpracování škodlivého webového obsahu může vést k nečekanému pádu Safari.

Popis: Problém byl vyřešen vylepšením zpracování paměti.

CVE-2025-43214: shandikri ve spolupráci se Zero Day Initiative společnosti Trend Micro, Google V8 Security Team

CVE-2025-43213: Google V8 Security Team

CVE-2025-43212: Nan Wang (@eternalsakura13) a Ziling Chen

WebKit

K dispozici pro: Apple Vision Pro

Dopad: Zpracování webového obsahu může vést k odepření služby.

Popis: Problém byl vyřešen vylepšením zpracování paměti.

CVE-2025-43211: Yuhao Hu, Yan Kang, Chenggang Wu a Xiaojie Wei

WebKit

K dispozici pro: Apple Vision Pro

Dopad: Zpracování škodlivého obsahu webu může odhalit vnitřní stavy aplikace.

Popis: Problém se čtením mimo rozsah byl vyřešen vylepšením ověřování vstupů.

CVE-2025-43265: HexRabbit (@h3xr4bb1t) z DEVCORE Research Teamu

WebKit

K dispozici pro: Apple Vision Pro

Dopad: Zpracování škodlivého webového obsahu může vést k nečekanému pádu Safari.

Popis: Problém s použitím paměti po uvolnění byl vyřešen vylepšením správy paměti.

CVE-2025-43216: Ignacio Sanmillan (@ulexec)

WebKit

K dispozici pro: Apple Vision Pro

Dopad: Zpracování škodlivého webového obsahu může vést k nečekanému pádu Safari.

Popis: Jedná se o slabinu v open source kódu, která má vliv i na software Apple. Identifikátor CVE-ID byl přiřazen třetí stranou. Další informace o problému a identifikátoru CVE-ID najdete na cve.org.

CVE-2025-6558: Clément Lecigne a Vlad Stolyarov z Google Threat Analysis Group

Další poděkování

Bluetooth

Poděkování za pomoc zaslouží Gary Kwong LIdong LI, Xiao Wang, Shao Dong Chen a Chao Tan z týmu Source Guard.

CoreAudio

Poděkování za pomoc zaslouží Noah Weinberg.

Device Management

Poděkování za pomoc zaslouží Al Karak.

libxml2

Poděkování za pomoc zaslouží Sergei Glazunov z týmu Google Project Zero.

libxslt

Poděkování za pomoc zaslouží Ivan Fratric z týmu Google Project Zero.

Shortcuts

Poděkování za pomoc zaslouží Dennis Kniep.

WebKit

Poděkování za pomoc zaslouží Google V8 Security Team, Yuhao Hu, Yan Kang, Chenggang Wu a Xiaojie Wei, rheza (@ginggilBesel).