Tietoja iOS 18.3:n ja iPadOS 18.3:n turvallisuussisällöstä

Tässä asiakirjassa kerrotaan iOS 18.3:n ja iPadOS 18.3:n turvallisuussisällöstä.

Tietoja Applen suojauspäivityksistä

Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Viimeisimmät julkaisut luetellaan Applen suojauspäivitykset -sivulla.

Applen tietoturvadokumenteissa viitataan haavoittuvuuksiin CVE-ID-tunnusten avulla, jos mahdollista.

Lisätietoja turvallisuudesta saat Applen tuoteturvallisuus -sivulta.

iOS 18.3 ja iPadOS 18.3

Julkaistu 27.1.2025

Accessibility

Saatavuus: iPhone XS ja uudemmat, iPad Pro (13 tuumaa), iPad Pro (12,9 tuumaa, 3. sukupolvi ja uudemmat), iPad Pro (11 tuumaa, 1. sukupolvi ja uudemmat), iPad Air (3. sukupolvi ja uudemmat), iPad (7. sukupolvi ja uudemmat) ja iPad mini (5. sukupolvi ja uudemmat)

Vaikutus: hyökkääjä, jolla oli fyysinen pääsy lukitsemattomaan laitteeseen, saattoi pystyä käyttämään Kuvia, kun appi oli lukittu.

Kuvaus: valtuutusongelma on ratkaistu parantamalla tilanhallintaa.

CVE-2025-24141: Abhay Kailasia (@abhay_kailasia, C-DAC Thiruvananthapuram India)

AirPlay

Vaikutus: hyökkääjä paikallisessa verkossa saattoi pystyä korruptoimaan järjestelmämuistin.

Kuvaus: Syötteen vahvistusongelma on korjattu.

CVE-2025-24126: Uri Katz (Oligo Security)

Kohta päivitetty 28.4.2025

AirPlay

Vaikutus: hyökkääjä paikallisessa verkossa saattoi aiheuttaa apin odottamattoman sulkeutumisen.

Kuvaus: tyyppisekaannusongelma on ratkaistu parantamalla tarkastuksia.

CVE-2025-24129: Uri Katz (Oligo Security)

Kohta päivitetty 28.4.2025

AirPlay

Vaikutus: hyökkääjä paikallisessa verkossa saattoi pystyä aiheuttamaan palveluneston.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2025-24131: Uri Katz (Oligo Security)

Kohta päivitetty 28.4.2025

AirPlay

Vaikutus: hyökkääjä paikallisessa verkossa saattoi pystyä aiheuttamaan palveluneston.

Kuvaus: Nollaosoittimen epäviittaus korjattiin parantamalla annettujen tietojen tarkistusta.

CVE-2025-24177: Uri Katz (Oligo Security)

CVE-2025-24179: Uri Katz (Oligo Security)

Kohta päivitetty 28.4.2025

AirPlay

Vaikutus: hyökkääjä paikallisessa verkossa saattoi korruptoida järjestelmämuistin.

Kuvaus: tyyppisekaannusongelma on ratkaistu parantamalla tarkastuksia.

CVE-2025-24137: Uri Katz (Oligo Security)

Kohta päivitetty 28.4.2025

ARKit

Vaikutus: tiedoston jäsentäminen saattoi aiheuttaa apin odottamattoman sulkeutumisen.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2025-24127: Minghao Lin (@Y1nKoc), babywu ja Xingwei Lin (Zhejiangin yliopisto)

CoreAudio

Vaikutus: tiedoston jäsentäminen saattoi aiheuttaa apin odottamattoman sulkeutumisen.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2025-24160: Google Threat Analysis Group

CVE-2025-24161: Google Threat Analysis Group

CVE-2025-24163: Google Threat Analysis Group

CoreMedia

Vaikutus: tiedoston jäsentäminen saattoi aiheuttaa apin odottamattoman sulkeutumisen.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

CVE-2025-24123: Desmond yhteistyössä Trend Micro Zero Day Initiativen kanssa

CVE-2025-24124: Pwn2car ja Rotiple (HyeongSeok Jang) yhteistyössä Trend Micro Zero Day Initiativen kanssa

CoreMedia

Vaikutus: Haittaohjelma saattoi pystyä hankkimaan laajemmat käyttöoikeudet. Apple on tietoinen raportista, jonka mukaan tätä ongelmaa on saatettu hyödyntää aktiivisesti ennen iOS 17.2 ‑versiota julkaistuissa iOS-versioissa.

Kuvaus: Use-after-free-ongelma on ratkaistu parantamalla muistin hallintaa.

CVE-2025-24085

CoreMedia Playback

Vaikutus: appi saattoi saada järjestelmän sulkeutumaan odottamatta.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2025-24184: Song Hyun Bae (@bshyuunn) ja Lee Dong Ha (Who4mI)

Kohta lisätty 16.5.2025

Display

Vaikutus: appi saattoi saada järjestelmän sulkeutumaan odottamatta.

Kuvaus: muistin vioittumisongelma on ratkaistu parantamalla tilanhallintaa.

CVE-2025-24111: Wang Yu (Cyberserval)

Kohta lisätty 12.5.2025

ImageIO

Vaikutus: kuvan käsittely saattoi aiheuttaa palveluneston.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2025-24086: DongJun Kim (@smlijun) ja JongSeong Kim (@nevul37) (Enki WhiteHat), D4m0n

Kernel

Vaikutus: appi saattoi pystyä vuotamaan arkaluonteisia kernelin tilatietoja.

Kuvaus: tietojen paljastumiseen liittyvä ongelma ratkaistiin poistamalla haavoittuvuuden aiheuttanut koodi.

CVE-2025-24144: Mateusz Krzywicki (@krzywix)

Kohta lisätty 12.5.2025

Kernel

Vaikutus: haitallinen appi saattoi pystyä hankkimaan pääkäyttöoikeudet.

Kuvaus: käyttöoikeusongelma on ratkaistu lisäämällä rajoituksia.

CVE-2025-24107: nimetön tutkija

Kernel

Vaikutus: appi saattoi pystyä suorittamaan mielivaltaista koodia kernel-käyttöoikeuksilla.

Kuvaus: Varmistusongelma on ratkaistu parantamalla logiikkaa.

CVE-2025-24159: pattern-f (@pattern_F_)

LaunchServices

Vaikutus: appi saattoi pystyä tallentamaan käyttäjän sormenjäljen.

Kuvaus: ongelma on ratkaistu parantamalla arkaluontoisten tietojen sensuroimista.

CVE-2025-24117: Michael (Biscuit) Thomas (@biscuit@social.lol)

Libnotify

Vaikutus: appi saattoi pystyä aiheuttamaan palveluneston.

Kuvaus: Appi pystyi jäljittelemään järjestelmäilmoituksia. Arkaluonteisiin ilmoituksiin edellytetään nyt rajoitettuja oikeuksia.

CVE-2025-24091: Guilherme Rambo (Best Buddy Apps, rambo.codes)

Kohta päivitetty 30.4.2025

libxslt

Vaikutus: haitallisen verkkosisällön käsittely saattoi johtaa prosessin odottamattomaan kaatumiseen.

Kuvaus: tämä on avoimen lähdekoodin haavoittuvuus, ja Apple-ohjelmistot sisältyvät haavoittuvuuden vaikutuspiiriin kuuluviin projekteihin. CVE-ID on kolmannen osapuolen määrittämä. Lue lisätietoja ongelmasta ja CVE-ID:stä sivustolla cve.org.

CVE-2024-55549: Ivan Fratric (Google Project Zero)

CVE-2025-24855: Ivan Fratric (Google Project Zero)

Kohta päivitetty 16.5.2025

Managed Configuration

Vaikutus: haitallisen varmuuskopiotiedoston palauttaminen saattoi johtaa suojattujen järjestelmätiedostojen muuttumiseen.

Kuvaus: ongelma on ratkaistu parantamalla symbolisten linkkien käsittelyä.

CVE-2025-24104: Hichem Maloufi, Hakim Boukhadra

PackageKit

Vaikutus: appi saattoi pystyä muokkaamaan tiedostojärjestelmän suojattuja osia.

Kuvaus: käyttöoikeusongelma on ratkaistu lisäämällä rajoituksia.

CVE-2025-31262: Mickey Jin (@patch1t)

Kohta lisätty 16.5.2025

Passkeys

Vaikutus: appi saattoi saada Bluetoothin käyttöön luvattomasti.

CVE-2024-9956: mastersplinter

Safari

Vaikutus: Kätketyt-albumin kuvia saattoi katsoa ilman todentautumista.

Kuvaus: logiikkaongelma ratkaistiin parantamalla tarkistuksia.

CVE-2025-31185: Jason Gendron (@gendron_jason), 이준성 (Junsung Lee)

Kohta lisätty 16.5.2025

Safari

Vaikutus: haitallisella verkkosivustolla käynti saattoi aiheuttaa osoiterivin väärentämisen.

Kuvaus: ongelma on ratkaistu lisäämällä ylimääräinen logiikka.

CVE-2025-24128: @RenwaX23

Safari

Vaikutus: haitallisella verkkosivustolla käynti saattoi aiheuttaa käyttöliittymän väärentämisen.

Kuvaus: ongelma ratkaistiin parantamalla käyttöliittymää.

CVE-2025-24113: @RenwaX23

SceneKit

Vaikutus: tiedoston jäsentäminen saattoi aiheuttaa käyttäjätietojen paljastumisen.

Kuvaus: rajojen ulkopuolisen muistin lukeminen on ratkaistu parantamalla rajojen tarkistusta.

CVE-2025-24149: Michael DePlante (@izobashi, Trend Micro Zero Day Initiative)

Time Zone

Vaikutus: appi saattoi pystyä näkemään yhteystiedon puhelinnumeron järjestelmälokeista.

Kuvaus: tietosuojaongelma on ratkaistu parantamalla henkilötietojen sensurointia lokimerkinnöissä.

CVE-2025-24145: Kirin (@Pwnrin)

WebContentFilter

Vaikutus: hyökkääjä saattoi pystyä aiheuttamaan järjestelmän odottamattoman sulkeutumisen tai vioittamaan kernel-muistia.

Kuvaus: Rajojen ulkopuolisen muistin kirjoitusongelma ratkaistiin parantamalla annettujen tietojen vahvistamista.

CVE-2025-24154: nimetön tutkija

WebKit

Vaikutus: haitallisen verkkosisällön käsitteleminen saattoi johtaa muistin vioittumiseen.

Kuvaus: ongelma on ratkaistu parantamalla tarkastuksia.

WebKit Bugzilla: 284332

CVE-2025-24189: nimetön tutkija

Kohta lisätty 16.5.2025

WebKit

Vaikutus: haitallinen verkkosivu pystyi ehkä tallentamaan käyttäjän sormenjäljen.

Kuvaus: tämä ongelma on ratkaistu parantamalla käyttörajoituksia tiedostojärjestelmään.

WebKit Bugzilla: 283117

CVE-2025-24143: nimetön tutkija

WebKit

Vaikutus: verkkosisällön käsittely saattoi aiheuttaa palveluneston.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

WebKit Bugzilla: 283889

CVE-2025-24158: Q1IQ (@q1iqF, NUS CuriOSity) ja P1umer (@p1umer, Imperial Global Singapore)

WebKit

Vaikutus: haitallisen verkkosisällön käsittely saattoi johtaa prosessin odottamattomaan kaatumiseen.

Kuvaus: ongelma on ratkaistu parantamalla tilanhallintaa.

WebKit Bugzilla: 284159

CVE-2025-24162: linjy (HKUS3Lab) ja chluo (WHUSecLab)

WebKit Web Inspector

Vaikutus: URL-osoitteen kopioiminen verkkoinspektorista saattoi johtaa komennonsyöttöön

Kuvaus: tietosuojaongelma on ratkaistu parantamalla tilapäisten tiedostojen käsittelyä.

WebKit Bugzilla: 283718

CVE-2025-24150: Johan Carlsson (joaxcar)

Kiitokset

Accessibility

Haluamme kiittää Abhay Kailasiaa (@abhay_kailasia, LLNCT Bhopal) C-DAC Thiruvananthapuram Indiaa heidän antamastaan avusta.

AirPlay

Haluamme kiittää avusta Uri Katzia (Oligo Security).

Kohta lisätty 28.4.2025

Audio

Haluamme kiittää avusta Google Threat Analysis Groupia.

CoreAudio

Haluamme kiittää avusta Google Threat Analysis Groupia.

Files

Haluamme kiittää avusta Chi Yuan Changia (ZUSO ART) ja nimimerkkiä taikosoup.

iCloud

Haluamme kiittää avusta Abhay Kailasiaa (@abhay_kailasia, Lakshmi Narain College of Technology Bhopal India), George Kovaiosta ja Srijan Poudelia.

Kohta lisätty 16.5.2025

Ilmoitukset

Haluamme kiittää avusta Abhay Kailasiaa (@abhay_kailasia, Lakshmi Narain College of Technology Bhopal India) ja Xingjian Zhaota (@singularity-s0).

Passwords

Haluamme kiittää avusta Talal Haj Bakrya ja Tommy Myskiä (Mysk Inc., @mysk_co).

Phone

Haluamme kiittää avusta Abhay Kailasiaa (@abhay_kailasia, C-DAC Thiruvananthapuram India) ja nimetöntä tutkijaa.

Screenshots

Haluamme kiittää avusta Yannik Bloscheckia (yannikbloscheck.com).

Sleep

Haluamme kiittää Abhay Kailasiaa (@abhay_kailasia, LLNCT Bhopal) C-DAC Thiruvananthapuram Indiaa heidän antamastaan avusta.

Static Linker

Haluamme kiittää avusta Holger Fuhrmannekia.

VoiceOver

Haluamme kiittää avusta Bistrit Dahalia ja Dalibor Milanovicia.

Tiedot tuotteista, jotka eivät ole Applen valmistamia, sekä tiedot itsenäisistä verkkosivustoista, jotka eivät ole Applen hallinnoimia tai testaamia, eivät sisällä suosituksia. Apple ei vastaa muiden valmistajien verkkosivustojen tai tuotteiden valikoimasta, toimivuudesta tai käytöstä. Apple ei takaa muiden valmistajien verkkosivustojen tarkkuutta tai luotettavuutta. Saat lisätietoja ottamalla yhteyttä myyjään.

Julkaisupäivämäärä: 23. toukokuuta 2025