Informace o bezpečnostním obsahu iOS 18.7.2 a iPadOS 18.7.2

Tento dokument popisuje bezpečnostní obsah iOS 18.7.2 a iPadOS 18.7.2.

Informace o bezpečnostních aktualizacích Apple

Apple v zájmu ochrany zákazníků nezveřejňuje, nekomentuje ani nepotvrzuje bezpečnostní problémy, dokud nejsou plně vyšetřené a nejsou k dispozici opravy nebo aktualizace. Nejnovější opravy najdete na stránce Bezpečnostní aktualizace Apple.

Pokud je to možné, bezpečnostní dokumenty Apple odkazují na bezpečnostní slabiny pomocí identifikátorů CVE-ID.

Podrobnější informace o zabezpečení najdete na stránce Zabezpečení produktů Apple.

iOS 18.7.2 a iPadOS 18.7.2

Vydáno 5. listopadu 2025

Accessibility

K dispozici: iPhone XS a novější, 13palcový iPad Pro, 12,9palcový iPad Pro 3. generace a novější, 11palcový iPad Pro 1. generace a novější, iPad Air 3. generace a novější, iPad 7. generace a novější a iPad mini 5. generace a novější

Dopad: Aplikaci se může podařit zjistit, jaké další aplikace má uživatel nainstalované.

Popis: Problém s oprávněními byl vyřešen přidáním dalších omezení.

CVE-2025-43442: Zhongcheng Li z týmu IES Red Team společnosti ByteDance

App Store

Dopad: Aplikaci se může podařit sejmout otisk prstu uživatele.

Popis: Problém s oprávněními byl vyřešen přidáním dalších omezení.

CVE-2025-43444: Zhongcheng Li z týmu IES Red Team společnosti ByteDance

Audio

Dopad: Útočník s fyzickým přístupem k odemčenému zařízení spárovanému s Macem může být schopen zjistit citlivé údaje o uživateli v systémových protokolech.

Popis: Problém v protokolování byl vyřešen vylepšením redigování dat.

CVE-2025-43423: Duy Trần (@khanhduytran0)

Camera

Dopad: Aplikaci se může podařit zjistit informace o aktuálním záběru fotoaparátu ještě předtím, než k fotoaparátu dostane přístup.

Popis: Problém v logice byl vyřešen vylepšením kontrol.

CVE-2025-43450: Dennis Briner

CloudKit

Dopad: Aplikaci se může podařit uniknout ze sandboxu.

Popis: Problém byl vyřešen vylepšením ověřování symbolických odkazů.

CVE-2025-43448: Hikerell (Loadshine Lab)

CoreText

Dopad: Zpracování škodlivého souboru médií může vést k neočekávanému ukončení aplikace nebo poškození paměti procesu.

Popis: Problém se čtením mimo rozsah byl vyřešen vylepšením ověřování vstupů.

CVE-2025-43445: Hossein Lotfi (@hosselot) z týmu Zero Day Initiative společnosti Trend Micro

Find My

Dopad: Aplikaci se může podařit sejmout otisk prstu uživatele.

Popis: Problém s ochranou soukromí byl vyřešen přesunutím citlivých dat.

CVE-2025-43507: iisBuri

Installer

Dopad: Aplikaci se může podařit sejmout otisk prstu uživatele.

Popis: Problém s oprávněními byl vyřešen přidáním dalších omezení.

CVE-2025-43444: Zhongcheng Li z týmu IES Red Team společnosti ByteDance

Kernel

Dopad: Aplikace může způsobit neočekávané ukončení systému.

Popis: Problém byl vyřešen vylepšením zpracování paměti.

CVE-2025-43398: Cristian Dinca (icmd.tech)

Mail

Dopad: Vzdálený obsah se může načítat, i když je volba „Načíst vzdálené obrázky“ vypnutá.

Popis: Problém byl vyřešen přidáním další logiky.

CVE-2025-43496: Romain Lebesle, Himanshu Bharti @Xpl0itme z týmu Khatima

MetricKit

Dopad: Neprivilegovaný proces může být schopen ukončovat kořenové procesy.

Popis: Problém s odmítnutím služby byl vyřešen vylepšením vstupního ověřování.

CVE-2025-43365: Minghao Lin (@Y1nKoc), Lyutoon (@Lyutoon_) a YingQi Shi (@Mas0n)

Model I/O

Dopad: Zpracování škodlivého souboru médií může vést k neočekávanému ukončení aplikace nebo poškození paměti procesu.

Popis: Problém s přístupem mimo rozsah byl vyřešen vylepšením kontroly rozsahů.

CVE-2025-43386: Michael DePlante (@izobashi) z týmu Zero Day Initiative společnosti Trend Micro

CVE-2025-43383: Michael DePlante (@izobashi) z týmu Zero Day Initiative společnosti Trend Micro

CVE-2025-43385: Michael DePlante (@izobashi) z týmu Zero Day Initiative společnosti Trend Micro

CVE-2025-43384: Michael DePlante (@izobashi) z týmu Zero Day Initiative společnosti Trend Micro

Model I/O

Dopad: Aplikaci se může podařit způsobit odmítnutí služby.

Popis: Problém se čtením mimo rozsah byl vyřešen vylepšením kontroly rozsahu.

CVE-2025-43377: BynarIO AI (bynar.io)

Notes

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém se soukromím byl vyřešen odebráním zranitelného kódu.

CVE-2025-43389: Kirin (@Pwnrin)

On-device Intelligence

Dopad: Aplikaci se může podařit sejmout otisk prstu uživatele.

Popis: Problém s ochranou soukromí byl vyřešen odstraněním citlivých dat.

CVE-2025-43439: Zhongcheng Li z týmu IES Red Team společnosti ByteDance

Safari

Dopad: Návštěva škodlivého webu může vést ke zfalšování řádku s adresou.

Popis: Problém byl vyřešen vylepšením kontroly.

CVE-2025-43493: @RenwaX23

Safari

Dopad: Návštěva škodlivého webu může vést ke zfalšování uživatelského rozhraní.

Popis: Problém s nekonzistentním uživatelským rozhraním byl vyřešen vylepšením správy stavu.

CVE-2025-43503: @RenwaX23

Shortcuts

Dopad: Aplikaci se může podařit číst citlivé údaje o uživateli.

Popis: Problém byl vyřešen zavedením dalších kontrol oprávnění.

CVE-2025-43499: anonymní výzkumník

Siri

Dopad: Zařízení se může trvale nedařit zamknout

Popis: Problém byl vyřešen vylepšením správy stavů.

CVE-2025-43454: Joshua Thomas

Siri

Dopad: Aplikaci se může podařit získat přístup ke chráněným údajům uživatele.

Popis: Problém byl vyřešen vylepšením redigování citlivých údajů.

CVE-2025-43399: Kirin (@Pwnrin), Cristian Dinca (icmd.tech)

Spotlight

Dopad: Útočníkovi s fyzickým přístupem k zařízení se může podařit zobrazit citlivé informace o uživatelích.

Popis: Tento problém byl vyřešen omezením možností nabízených na zamčeném zařízení.

CVE-2025-43418: Dalibor Milanovic

WebKit

Dopad: Zpracování škodlivého webového obsahu může vést k nečekanému pádu Safari.

Popis: Problém s použitím paměti po uvolnění byl vyřešen vylepšením správy paměti.

WebKit Bugzilla: 297662

CVE-2025-43438: shandikri ve spolupráci se Zero Day Initiative společnosti Trend Micro

WebKit Bugzilla: 297958

CVE-2025-43434: Google Big Sleep

WebKit

Dopad: Zpracování škodlivého webového obsahu může vést k nečekanému pádu procesu.

Popis: Problém byl vyřešen vylepšením správy stavů.

WebKit Bugzilla: 296693

CVE-2025-43458: Phil Beauvoir

WebKit

Dopad: Zpracování škodlivého webového obsahu může vést k poškození paměti.

Popis: Problém byl vyřešen vylepšením zpracování paměti.

WebKit Bugzilla: 298093

CVE-2025-43433: Google Big Sleep

WebKit Bugzilla: 298194

CVE-2025-43431: Google Big Sleep

WebKit

Dopad: Zpracování škodlivého webového obsahu může vést k nečekanému pádu procesu.

Popis: Problém byl vyřešen vylepšením zpracování paměti.

WebKit Bugzilla: 298496

CVE-2025-43441: rheza (@ginggilBesel)

WebKit Bugzilla: 299391

CVE-2025-43435: Justin Cohen ze společnosti Google

WebKit

Dopad: Zpracování škodlivého webového obsahu může vést k nečekanému pádu procesu.

Popis: Problém s přetečením vyrovnávací paměti byl vyřešen vylepšením kontroly rozsahu.

WebKit Bugzilla: 298232

CVE-2025-43429: Google Big Sleep

WebKit

Dopad: Zpracování škodlivého webového obsahu může vést k nečekanému pádu procesu.

Popis: Problém byl vyřešen vylepšením kontrol.

WebKit Bugzilla: 299843

CVE-2025-43443: anonymní výzkumník

WebKit

Dopad: Aplikace může být schopná zaznamenávat stisknutí kláves, aniž by to uživatel povolil.

Popis: Problém byl vyřešen vylepšením kontroly.

WebKit Bugzilla: 300095

CVE-2025-43495: Lehan Dilusha Jayasinghe

WebKit Canvas

Dopad: Web může získat data obrázků napříč původy.

Popis: Problém byl vyřešen vylepšením zpracování mezipamětí.

WebKit Bugzilla: 297566

CVE-2025-43392: Tom Van Goethem

Další poděkování

Mail

Poděkování za pomoc zaslouží anonymní výzkumník.

Shortcuts

Poděkování za pomoc zaslouží Andrew James Gonzalez.

WebKit

Poděkování za pomoc zaslouží Enis Maholli (enismaholli.com) a Google Big Sleep.

Informace o produktech, které nevyrábí Apple, a o nezávislých webech, které Apple nemá pod kontrolou a netestuje je, jsou poskytovány bez doporučení nebo záruky za jejich obsah. Apple v souvislosti s výběrem, výkonem nebo použitím webů nebo produktů třetích stran nepřebírá žádnou odpovědnost. Apple nijak nezaručuje přesnost nebo spolehlivost webů třetích stran. Další informace vám poskytne příslušný výrobce.

Datum zveřejnění: 10. listopadu 2025