Informace o bezpečnostním obsahu iOS 18.7.2 a iPadOS 18.7.2

Tento dokument popisuje bezpečnostní obsah iOS 18.7.2 a iPadOS 18.7.2.

Informace o bezpečnostních aktualizacích Apple

Apple v zájmu ochrany zákazníků nezveřejňuje, nekomentuje ani nepotvrzuje bezpečnostní problémy, dokud nejsou plně vyšetřené a nejsou k dispozici opravy nebo aktualizace. Nejnovější opravy najdete na stránce Bezpečnostní aktualizace Apple.

Pokud je to možné, bezpečnostní dokumenty Apple odkazují na bezpečnostní slabiny pomocí identifikátorů CVE-ID.

Podrobnější informace o zabezpečení najdete na stránce Zabezpečení produktů Apple.

iOS 18.7.2 a iPadOS 18.7.2

Vydáno 5. listopadu 2025

Accessibility

K dispozici: iPhone XS a novější, 13palcový iPad Pro, 12,9palcový iPad Pro 3. generace a novější, 11palcový iPad Pro 1. generace a novější, iPad Air 3. generace a novější, iPad 7. generace a novější a iPad mini 5. generace a novější

Dopad: Aplikaci se může podařit zjistit, jaké další aplikace má uživatel nainstalované.

Popis: Problém s oprávněními byl vyřešen přidáním dalších omezení.

CVE-2025-43442: Zhongcheng Li z týmu IES Red Team společnosti ByteDance

App Store

Dopad: Aplikaci se může podařit sejmout otisk prstu uživatele.

Popis: Problém s oprávněními byl vyřešen přidáním dalších omezení.

CVE-2025-43444: Zhongcheng Li z týmu IES Red Team společnosti ByteDance

Audio

Dopad: Útočníkovi s fyzickým přístupem k odemknutému zařízení spárovanému s Macem se může podařit zobrazit citlivé uživatelské informace v systémových protokolech.

Popis: Problém v protokolování byl vyřešen vylepšením redigování dat.

CVE-2025-43423: Duy Trần (@khanhduytran0)

Camera

Dopad: Aplikaci se může podařit zjistit informace o aktuálním záběru fotoaparátu ještě předtím, než k fotoaparátu dostane přístup.

Popis: Problém v logice byl vyřešen vylepšením kontrol.

CVE-2025-43450: Dennis Briner

CloudKit

Dopad: Aplikaci se může podařit uniknout ze sandboxu.

Popis: Problém byl vyřešen vylepšením ověřování symbolických odkazů.

CVE-2025-43448: Hikerell (Loadshine Lab)

CoreText

Dopad: Zpracování škodlivého souboru médií může vést k neočekávanému ukončení aplikace nebo poškození paměti procesu.

Popis: Problém se čtením mimo rozsah byl vyřešen vylepšením ověřování vstupů.

CVE-2025-43445: Hossein Lotfi (@hosselot) z týmu Zero Day Initiative společnosti Trend Micro

Find My

Dopad: Aplikaci se může podařit sejmout otisk prstu uživatele.

Popis: Problém s ochranou soukromí byl vyřešen přesunutím citlivých dat.

CVE-2025-43507: iisBuri

Installer

Dopad: Aplikaci se může podařit sejmout otisk prstu uživatele.

Popis: Problém s oprávněními byl vyřešen přidáním dalších omezení.

CVE-2025-43444: Zhongcheng Li z týmu IES Red Team společnosti ByteDance

Kernel

Dopad: Aplikace může způsobit neočekávané ukončení systému.

Popis: Problém byl vyřešen vylepšením zpracování paměti.

CVE-2025-43398: Cristian Dinca (icmd.tech)

Kernel

Dopad: Škodlivá aplikace může způsobit nečekané změny v paměti sdílené mezi procesy

Popis: Problém s poškozením paměti byl vyřešen lepším ověřováním stavu zamčení.

CVE-2025-43510: Apple

Záznam přidán 12. prosince 2025

Kernel

Dopad: Škodlivé aplikaci se může podařit způsobit neočekávané ukončení systému nebo zapisovat do paměti jádra.

Popis: Problém s poškozením paměti byl vyřešen vylepšením správy paměti.

CVE-2025-43520: Apple

Záznam přidán 12. prosince 2025

Mail

Dopad: Vzdálený obsah se může načítat, i když je volba „Načíst vzdálené obrázky“ vypnutá.

Popis: Problém byl vyřešen přidáním další logiky.

CVE-2025-43496: Romain Lebesle, Himanshu Bharti @Xpl0itme ze společnosti Khatima

Mail

Dopad: Útočníkovi se může podařit způsobit trvalé odmítnutí služby.

Popis: Problém s analýzou záhlaví pošty byl vyřešen vylepšením kontrol.

CVE-2025-43494: Taavi Eomäe ze Zone Media (zone.ee)

Záznam přidán 12. prosince 2025

MetricKit

Dopad: Neprivilegovaný proces může být schopen ukončovat kořenové procesy.

Popis: Problém s odmítnutím služby byl vyřešen vylepšením vstupního ověřování.

CVE-2025-43365: Minghao Lin (@Y1nKoc), Lyutoon (@Lyutoon_) a YingQi Shi (@Mas0n)

Model I/O

Dopad: Zpracování škodlivého souboru médií může vést k neočekávanému ukončení aplikace nebo poškození paměti procesu.

Popis: Problém s přístupem mimo rozsah byl vyřešen vylepšením kontroly rozsahů.

CVE-2025-43386: Michael DePlante (@izobashi) z týmu Zero Day Initiative společnosti Trend Micro

CVE-2025-43383: Michael DePlante (@izobashi) z týmu Zero Day Initiative společnosti Trend Micro

CVE-2025-43385: Michael DePlante (@izobashi) z týmu Zero Day Initiative společnosti Trend Micro

CVE-2025-43384: Michael DePlante (@izobashi) z týmu Zero Day Initiative společnosti Trend Micro

Model I/O

Dopad: Aplikaci se může podařit způsobit odmítnutí služby.

Popis: Problém se čtením mimo rozsah byl vyřešen vylepšením kontroly rozsahu.

CVE-2025-43377: BynarIO AI (bynar.io)

Notes

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém se soukromím byl vyřešen odebráním zranitelného kódu.

CVE-2025-43389: Kirin (@Pwnrin)

On-device Intelligence

Dopad: Aplikaci se může podařit sejmout otisk prstu uživatele.

Popis: Problém s ochranou soukromí byl vyřešen odstraněním citlivých dat.

CVE-2025-43439: Zhongcheng Li z týmu IES Red Team společnosti ByteDance

Safari

Dopad: Návštěva škodlivého webu může vést ke zfalšování řádku s adresou.

Popis: Problém byl vyřešen vylepšením kontroly.

CVE-2025-43493: @RenwaX23

Safari

Dopad: Návštěva škodlivého webu může vést ke zfalšování uživatelského rozhraní.

Popis: Problém s nekonzistentním uživatelským rozhraním byl vyřešen vylepšením správy stavu.

CVE-2025-43503: @RenwaX23

Shortcuts

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém byl vyřešen zavedením dalších kontrol oprávnění.

CVE-2025-43499: anonymní výzkumník

Siri

Dopad: Zařízení se může trvale nedařit zamknout

Popis: Problém byl vyřešen vylepšením správy stavů.

CVE-2025-43454: Joshua Thomas

Siri

Dopad: Aplikaci se může podařit získat přístup ke chráněným údajům uživatele.

Popis: Problém byl vyřešen vylepšením redigování citlivých údajů.

CVE-2025-43399: Kirin (@Pwnrin), Cristian Dinca (icmd.tech)

Spotlight

Dopad: Útočníkovi s fyzickým přístupem k zařízení se může podařit zobrazit citlivé informace o uživatelích.

Popis: Tento problém byl vyřešen omezením možností nabízených na zamčeném zařízení.

CVE-2025-43418: Dalibor Milanovic

WebKit

Dopad: Zpracování škodlivého webového obsahu může vést k nečekanému pádu Safari.

Popis: Problém s použitím paměti po uvolnění byl vyřešen vylepšením správy paměti.

WebKit Bugzilla: 297662

CVE-2025-43438: rheza (@ginggilBesel), shandikri ve spolupráci se Zero Day Initiative společnosti Trend Micro

WebKit Bugzilla: 297958

CVE-2025-43434: Google Big Sleep

Záznam aktualizován 12. prosince 2025

WebKit

Dopad: Zpracování škodlivého webového obsahu může vést k nečekanému pádu procesu.

Popis: Problém byl vyřešen vylepšením správy stavů.

WebKit Bugzilla: 296693

CVE-2025-43458: Phil Beauvoir

WebKit

Dopad: Zpracování škodlivého webového obsahu může vést k poškození paměti.

Popis: Problém byl vyřešen vylepšením zpracování paměti.

WebKit Bugzilla: 298093

CVE-2025-43433: Google Big Sleep

WebKit Bugzilla: 298194

CVE-2025-43431: Google Big Sleep

WebKit

Dopad: Zpracování škodlivého webového obsahu může vést k nečekanému pádu procesu.

Popis: Problém byl vyřešen vylepšením zpracování paměti.

WebKit Bugzilla: 298496

CVE-2025-43441: rheza (@ginggilBesel)

WebKit Bugzilla: 299391

CVE-2025-43435: Justin Cohen ze společnosti Google

WebKit

Dopad: Zpracování škodlivého webového obsahu může vést k nečekanému pádu procesu.

Popis: Problém s přetečením vyrovnávací paměti byl vyřešen vylepšením kontroly rozsahu.

WebKit Bugzilla: 298232

CVE-2025-43429: Google Big Sleep

WebKit

Dopad: Zpracování škodlivého webového obsahu může vést k nečekanému pádu procesu.

Popis: Problém byl vyřešen vylepšením kontrol.

WebKit Bugzilla: 299843

CVE-2025-43443: anonymní výzkumník

WebKit

Dopad: Aplikace může být schopná zaznamenávat stisknutí kláves, aniž by to uživatel povolil.

Popis: Problém byl vyřešen vylepšením kontroly.

WebKit Bugzilla: 300095

CVE-2025-43495: Lehan Dilusha Jayasinghe

WebKit Canvas

Dopad: Web může být schopný vytáhnout data obrázků napříč původy.

Popis: Problém byl vyřešen vylepšením zpracování mezipamětí.

WebKit Bugzilla: 297566

CVE-2025-43392: Tom Van Goethem

WebKit Web Inspector

Dopad: Zpracování škodlivého webového obsahu může vést k nečekanému pádu procesu.

Popis: Problém s použitím paměti po uvolnění byl vyřešen vylepšením správy paměti.

WebKit Bugzilla: 300926

CVE-2025-43511: 이동하 (Lee Dong Ha z BoB 14th)

Záznam přidán 12. prosince 2025

Další poděkování

Mail

Poděkování za pomoc zaslouží anonymní výzkumník.

Shortcuts

Poděkování za pomoc zaslouží Andrew James Gonzalez.

WebKit

Poděkování za pomoc zaslouží Enis Maholli (enismaholli.com), Google Big Sleep.

Informace o produktech, které nevyrábí Apple, a o nezávislých webech, které Apple nemá pod kontrolou a netestuje je, jsou poskytovány bez doporučení nebo záruky za jejich obsah. Apple v souvislosti s výběrem, výkonem nebo použitím webů nebo produktů třetích stran nepřebírá žádnou odpovědnost. Apple nijak nezaručuje přesnost nebo spolehlivost webů třetích stran. Další informace vám poskytne příslušný výrobce.

Datum zveřejnění: 18. prosince 2025