Tietoja visionOS 26.2:n turvallisuussisällöstä

Tässä asiakirjassa kerrotaan visionOS 26.2:n turvallisuussisällöstä.

Tietoja Applen suojauspäivityksistä

Suojellakseen asiakkaitaan Apple ei paljasta tietoturvaongelmia eikä anna niistä tietoja tai vahvista niitä, ennen kuin täydellinen tutkinta on tehty ja tarpeelliset korjauspäivitykset tai uudet versiot ovat saatavilla. Viimeisimmät julkaisut luetellaan Applen suojauspäivitykset -sivulla.

Applen tietoturvadokumenteissa viitataan haavoittuvuuksiin CVE-ID-tunnusten avulla, jos mahdollista.

Lisätietoja turvallisuudesta saat Applen tuoteturvallisuus -sivulta.

visionOS 26.2

App Store

Saatavuus: Apple Vision Pro (kaikki mallit)

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia maksutunnisteita.

Kuvaus: käyttöoikeusongelma on ratkaistu lisäämällä rajoituksia.

CVE-2025-46288: floeki, Zhongcheng Li (ByteDancen IES Red Team)

AppleJPEG

Saatavuus: Apple Vision Pro (kaikki mallit)

Vaikutus: Tiedoston käsitteleminen saattoi aiheuttaa muistin korruptoitumisen.

Kuvaus: ongelma on ratkaistu parantamalla rajojen tarkastuksia.

CVE-2025-43539: Michael Reeves (@IntegralPilot)

Calling Framework

Saatavuus: Apple Vision Pro (kaikki mallit)

Vaikutus: hyökkääjä saattoi pystyä väärentämään FaceTimen oman tunnisteensa.

Kuvaus: Epäyhdenmukaisen käyttöliittymän ongelma on korjattu parantamalla tilanhallintaa.

CVE-2025-46287: nimetön tutkija, Riley Walz

curl

Saatavuus: Apple Vision Pro (kaikki mallit)

Vaikutus: curlissa oli useita ongelmia.

Kuvaus: tämä on avoimen lähdekoodin haavoittuvuus, ja Apple-ohjelmistot sisältyvät haavoittuvuuden vaikutuspiiriin kuuluviin projekteihin. CVE-ID on kolmannen osapuolen määrittämä. Lue lisätietoja ongelmasta ja CVE-ID:stä sivustolla cve.org.

CVE-2024-7264

CVE-2025-9086

FaceTime

Saatavuus: Apple Vision Pro (kaikki mallit)

Vaikutus: salasanakentät saattoivat paljastua tahattomasti, jos laitetta hallittiin etänä FaceTimen kautta.

Kuvaus: ongelma on ratkaistu parantamalla tilanhallintaa.

CVE-2025-43542: Yiğit Ocak

Foundation

Saatavuus: Apple Vision Pro (kaikki mallit)

Vaikutus: haitallisten tietojen käsitteleminen saattoi johtaa apin odottamattomaan sulkeutumiseen.

Kuvaus: Muistin vioittumisongelma on ratkaistu parantamalla rajojen tarkistusta.

CVE-2025-43532: Andrew Calvano ja Lucas Pinheiro (Meta Product Security)

Icons

Saatavuus: Apple Vision Pro (kaikki mallit)

Vaikutus: appi saattoi kyetä tunnistamaan muita käyttäjän asentamia appeja.

Kuvaus: käyttöoikeusongelma on ratkaistu lisäämällä rajoituksia.

CVE-2025-46279: Duy Trần (@khanhduytran0)

Kernel

Saatavuus: Apple Vision Pro (kaikki mallit)

Vaikutus: appi saattoi saada pääkäyttöoikeudet.

Kuvaus: kokonaisluvun ylivuoto on ratkaistu ottamalla käyttöön 64-bittiset aikaleimat.

CVE-2025-46285: Kaitao Xie ja Xiaolong Bai (Alibaba Group)

Messages

Saatavuus: Apple Vision Pro (kaikki mallit)

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia käyttäjätietoja.

Kuvaus: tietojen paljastumisen ongelma ratkaistiin parantamalla tietosuoja-asetuksia.

CVE-2025-46276: Rosyna Keller (Totally Not Malicious Software)

Multi-Touch

Saatavuus: Apple Vision Pro (kaikki mallit)

Vaikutus: haitallinen HID-laite saattoi aiheuttaa prosessin kaatumisen odottamattomasti.

Kuvaus: useita muistin vioittumisongelmia on ratkaistu parantamalla annettujen tietojen vahvistamista.

CVE-2025-43533: Google Threat Analysis Group

Photos

Saatavuus: Apple Vision Pro (kaikki mallit)

Vaikutus: Kätketyt-albumin kuvia saattoi katsoa ilman todentautumista.

Kuvaus: Määritysongelma on ratkaistu lisäämällä rajoituksia.

CVE-2025-43428: nimetön tutkija, Michael Schmutzer (Technische Hochschule Ingolstadt)

Screen Time

Saatavuus: Apple Vision Pro (kaikki mallit)

Vaikutus: appi saattoi pystyä käyttämään arkaluontoisia käyttäjätietoja.

Kuvaus: kirjausongelma on ratkaistu parantamalla tietojen sensurointia.

CVE-2025-43538: Iván Savransky

WebKit

Saatavuus: Apple Vision Pro (kaikki mallit)

Vaikutus: Haitallisen verkkosisällön käsittely saattoi johtaa Safarin odottamattomaan kaatumiseen.

Kuvaus: tyyppisekaannusongelma on ratkaistu parantamalla tilan käsittelyä.

CVE-2025-43541: Hossein Lotfi (@hosselot, Trend Micro Zero Day Initiative)

WebKit

Saatavuus: Apple Vision Pro (kaikki mallit)

Vaikutus: haitallisen verkkosisällön käsittely saattoi johtaa prosessin odottamattomaan kaatumiseen.

Kuvaus: ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2025-43535: Google Big Sleep, Nan Wang (@eternalsakura13)

WebKit

Saatavuus: Apple Vision Pro (kaikki mallit)

Vaikutus: haitallisen verkkosisällön käsittely saattoi johtaa prosessin odottamattomaan kaatumiseen.

Kuvaus: puskurin ylivuotoon liittyvä ongelma on ratkaistu parantamalla muistin käsittelyä.

CVE-2025-43501: Hossein Lotfi (@hosselot, Trend Micro Zero Day Initiative)

WebKit

Saatavuus: Apple Vision Pro (kaikki mallit)

Vaikutus: haitallisen verkkosisällön käsittely saattoi johtaa prosessin odottamattomaan kaatumiseen.

Kuvaus: kilpailutilanne on korjattu parantamalla tilankäsittelyä.

CVE-2025-43531: Phil Pizlo (Epic Games)

WebKit

Saatavuus: Apple Vision Pro (kaikki mallit)

Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa mielivaltaisen koodin suorittamiseen. Apple on tietoinen raportista, jonka mukaan tätä ongelmaa on saatettu hyödyntää erittäin edistyneessä hyökkäyksessä tiettyjä yksilöitä vastaan iOS 26 -versiota edeltävissä iOS-versioissa. Vastauksena tähän raporttiin on julkaistu myös CVE-2025-14174.

Kuvaus: Use-After-Free-ongelma on ratkaistu parantamalla muistin hallintaa.

CVE-2025-43529: Google Threat Analysis Group

WebKit

Saatavuus: Apple Vision Pro (kaikki mallit)

Vaikutus: Haitallisen verkkosisällön käsitteleminen saattoi johtaa muistin vioittumiseen. Apple on tietoinen raportista, jonka mukaan tätä ongelmaa on saatettu hyödyntää erittäin edistyneessä hyökkäyksessä tiettyjä yksilöitä vastaan iOS 26 -versiota edeltävissä iOS-versioissa. Vastauksena tähän raporttiin on julkaistu myös CVE-2025-43529.

Kuvaus: muistin vioittumisongelma ratkaistiin parantamalla validointia.

CVE-2025-14174: Apple ja Google Threat Analysis Group

WebKit Web Inspector

Saatavuus: Apple Vision Pro (kaikki mallit)

Vaikutus: haitallisen verkkosisällön käsittely saattoi johtaa prosessin odottamattomaan kaatumiseen.

Kuvaus: Use-After-Free-ongelma on ratkaistu parantamalla muistin hallintaa.

CVE-2025-43511: 이동하 (Lee Dong Ha, BoB 14th)

Kiitokset

AppleMobileFileIntegrity

Haluamme kiittää avusta nimetöntä tutkijaa.

Core Services

Haluamme kiittää avusta Golden Helm Securitiesia.

Safari

Haluamme kiittää avusta Mochammad Nosa Shandy Prastyota.

WebKit

Haluamme kiittää avusta Geva Nurgandi Syahputraa (gevakun).