Informacije o sigurnosnom sadržaju sustava iOS 18.5 i iPadOS 18.5

U ovom se dokumentu opisuje sigurnosni sadržaj sustava iOS 18.5 i iPadOS 18.5.

Informacije o Appleovim sigurnosnim ažuriranjima

Radi zaštite korisnika Apple ne otkriva i ne potvrđuje sigurnosne probleme niti o njima raspravlja dok se ne provede istraga i ne stave na raspolaganje zakrpe ili novija izdanja. Najnovija izdanja navedena su na stranici Appleova sigurnosna izdanja.

Appleovi dokumenti o sigurnosti slabe točke navode prema oznaci CVE-ID kad god je to moguće.

Dodatne informacije o sigurnosti potražite na stranici Sigurnost Appleovih proizvoda.

iOS 18.5 i iPadOS 18.5

Objavljeno 12. svibnja 2025.

AppleJPEG

Dostupno za: iPhone XS i noviji, iPad Pro 13-inčni, iPad Pro 12,9-inčni 3. generacije i noviji, iPad Pro 11-inčni 1. generacije i noviji, iPad Air 3. generacije i noviji, iPad 7. generacije i noviji te iPad mini 5. generacije i noviji

Učinak: obrada zlonamjerne medijske datoteke može uzrokovati neočekivano zatvaranje aplikacije ili oštećenje procesne memorije

Opis: problem je riješen poboljšanom sanitizacijom ulaznih podataka.

CVE-2025-31251: Hossein Lotfi (@hosselot) iz inicijative Zero Day (Trend Micro)

Baseband

Dostupno za: iPhone 16e

Učinak: napadač s privilegiranim mrežnim ovlastima mogao bi presresti mrežni promet

Opis: problem je riješen poboljšanim upravljanjem stanjem.

CVE-2025-31214: 秦若涵, 崔志伟 i 崔宝江

Call History

Dostupno za: iPhone XS i novije uređaje

Učinak: povijest poziva iz izbrisanih aplikacija i dalje se može prikazivati u rezultatima pretraživanja u Spotlightu

Opis: problem sa zaštitom privatnosti riješen je uklanjanjem osjetljivih podataka.

CVE-2025-31225: Deval Jariwala

Core Bluetooth

Učinak: aplikacija bi mogla pristupiti osjetljivim korisničkim podacima

Opis: problem je riješen poboljšanim upravljanjem stanjem.

CVE-2025-31212: Guilherme Rambo (Best Buddy Apps (rambo.codes))

CoreAudio

Učinak: raščlanjivanje datoteke moglo je dovesti do neočekivanog zatvaranja aplikacije

Opis: problem je riješen poboljšanim provjerama.

CVE-2025-31208: Hossein Lotfi (@hosselot) iz inicijative Zero Day (Trend Micro)

CoreGraphics

Učinak: parsiranjem zlonamjerne datoteke moglo je doći do otkrivanja korisničkih podataka

Opis: problem s čitanjem izvan dopuštenog opsega riješen je poboljšanom provjerom ograničenja.

CVE-2025-31209: Hossein Lotfi (@hosselot) iz inicijative Zero Day (Trend Micro)

CoreMedia

Učinak: raščlanjivanje datoteke moglo je dovesti do neočekivanog zatvaranja aplikacije

Opis: problem s korištenjem memorijom nakon njezina oslobađanja riješen je poboljšanim upravljanjem memorijom.

CVE-2025-31239: Hossein Lotfi (@hosselot) iz inicijative Zero Day (Trend Micro)

CoreMedia

Učinak: obrada zlonamjerne videodatoteke može dovesti do neočekivanog zatvaranja aplikacije ili oštećenja procesne memorije

Opis: problem je riješen poboljšanom sanitizacijom ulaznih podataka.

CVE-2025-31233: Hossein Lotfi (@hosselot) iz inicijative Zero Day (Trend Micro)

FaceTime

Učinak: utišavanjem mikrofona tijekom FaceTime poziva zvuk se možda neće utišati

Opis: problem je riješen poboljšanim upravljanjem stanjem.

CVE-2025-31253: Dalibor Milanovic

FaceTime

Učinak: obradom web-sadržaja moglo bi se izazvati odbijanje usluge

Opis: problem je riješen poboljšanim korisničkim sučeljem.

CVE-2025-31210: Andrew James Gonzalez

FrontBoard

Učinak: aplikacije bi mogla popisati i označiti brojevima aplikacije koje je korisnik instalirao

Opis: logički problem riješen je poboljšanim provjerama.

CVE-2025-31207: YingQi Shi (@Mas0nShi) (DBAppSecurity's WeBin lab), Duy Trần (@khanhduytran0)

iCloud Document Sharing

Učinak: napadač bi mogao uključiti dijeljenje mape iCloud bez autentifikacije

Opis: taj je problem riješen poboljšanim provjerama ovlaštenja.

CVE-2025-30448: Dayton Pidhirney (Atredis Partners), Lyutoon i YenKoc

ImageIO

Učinak: obrada zlonamjerne slike može dovesti do odbijanja usluge

Opis: logički problem riješen je poboljšanim provjerama.

CVE-2025-31226: Saagar Jha

Kernel

Učinak: udaljeni napadač mogao bi uzrokovati neočekivani pad sustava

Opis: problem je riješen poboljšanim provjerama.

CVE-2025-24224: Tony Iskow (@Tybbow)

Unos je dodan 29. srpnja 2025.

Kernel

Učinak: napadači su mogli izazvati neočekivan pad sustava ili oštećenje kernelske memorije

Opis: problem je riješen poboljšanim rukovanjem memorijom.

CVE-2025-31219: Michael DePlante (@izobashi) i Lucas Leong (@_wmliang_) iz inicijative Zero Day (Trend Micro)

Kernel

Učinak: udaljeni napadači mogli su izazvati neočekivano zatvaranje aplikacije

Opis: problem dvostrukog oslobađanja riješen je poboljšanim upravljanjem memorijom.

CVE-2025-31241: Christian Kohlschütter

libexpat

Učinak: više problema koji se odnose na libexpat, uključujući neočekivano zatvaranje aplikacije ili izvršavanje proizvoljnog koda

Opis: radi se o ranjivosti u otvorenom kodu i Appleov softver je među projektima koji su time pogođeni. CVE-ID je dodijelila treća strana. Više o problemu i CVE-ID-ju saznajte na cve.org.

CVE-2024-8176

Mail Addressing

Učinak: obrada e-pošte može dovesti do lažiranja korisničkog sučelja

Opis: problem s ubacivanjem riješen je poboljšanom provjerom valjanosti ulaznih podataka.

CVE-2025-24225: Richard Hyunho Im (@richeeta)

mDNSResponder

Učinak: korisnik bi si mogao povećati ovlasti

Opis: problem s točnošću riješen je poboljšanim provjerama.

CVE-2025-31222: Paweł Płatek (Trail of Bits)

Notes

Učinak: napadač s fizičkim pristupom uređaju mogao bi pristupiti bilješkama sa zaključanog zaslona

Opis: taj je problem riješen poboljšanom provjerom autentičnosti.

CVE-2025-31228: Andr.Ess

Notes

Dostupno za: iPhone XS i novije uređaje

Učinak: napadač s fizičkim pristupom uređaju mogao bi pristupiti izbrisanoj snimci poziva

Opis: logički problem riješen je poboljšanim provjerama.

CVE-2025-31227: Shehab Khan

Pro Res

Učinak: neka bi aplikacija mogla izazvati neočekivani pad sustava

Opis: problem je riješen poboljšanim provjerama.

CVE-2025-31245: wac

Pro Res

Učinak: napadači su mogli izazvati neočekivan pad sustava ili oštećenje kernelske memorije

Opis: problem je riješen poboljšanom sanitizacijom ulaznih podataka.

CVE-2025-31234: CertiK (@CertiK)

Security

Učinak: udaljeni napadač mogao bi otkriti memoriju

Opis: prekoračenje cijelog broja riješeno je poboljšanom provjerom valjanosti ulaznih podataka.

CVE-2025-31221: Dave G.

WebKit

Učinak: problem sa zamjenom vrsta mogao je dovesti do oštećenja memorije

Opis: problem je riješen poboljšanim rukovanjem vrijednostima s plutajućim zarezom.

WebKit Bugzilla: 286694

CVE-2025-24213: tim za sigurnost Google V8

WebKit

Učinak: obradom zlonamjernog web-sadržaja moglo je doći do oštećenja memorije

Opis: problem je riješen poboljšanim provjerama.

WebKit Bugzilla: 289387

CVE-2025-31223: Andreas Jaegersberger i Ro Achterberg (Nosebeard Labs)

WebKit Bugzilla: 289653

CVE-2025-31238: wac i inicijativa Zero Day (Trend Micro)

WebKit

Učinak: obradom zlonamjernog web-sadržaja moglo je doći do oštećenja memorije

Opis: problem je riješen poboljšanim rukovanjem memorijom.

WebKit Bugzilla: 287577

CVE-2025-24223: rheza (@ginggilBesel) i anonimni istraživač

WebKit Bugzilla: 291506

CVE-2025-31204: Nan Wang (@eternalsakura13)

WebKit

Učinak: obradom zlonamjernog web-sadržaja moglo je doći do rušenja preglednika Safari

Opis: problem je riješen poboljšanom provjerom ulaznih podataka.

WebKit Bugzilla: 289677

CVE-2025-31217: Ignacio Sanmillan (@ulexec)

WebKit

Učinak: obradom zlonamjernog web-sadržaja može doći do neočekivanog rušenja procesa

Opis: problem je riješen poboljšanim provjerama.

WebKit Bugzilla: 288814

CVE-2025-31215: Jiming Wang i Jikai Ren

WebKit

Učinak: obradom zlonamjernog web-sadržaja moglo je doći do rušenja preglednika Safari

Opis: problem sa zamjenom vrste riješen je poboljšanim upravljanjem stanjem.

WebKit Bugzilla: 290834

CVE-2025-31206: anonimni istraživač

WebKit

Učinak: zlonamjerne internetske stranice mogle su doznati sve izvore podataka

Opis: problem je riješen poboljšanim provjerama.

WebKit Bugzilla: 290992

CVE-2025-31205: Ivan Fratric (Google Project Zero)

WebKit

Učinak: obradom zlonamjernog web-sadržaja moglo je doći do rušenja preglednika Safari

Opis: problem je riješen poboljšanim rukovanjem memorijom.

WebKit Bugzilla: 290985

CVE-2025-31257: Juergen Schmied (Lynck GmbH)

Dodatna zahvala

AirDrop

Na pomoći zahvaljujemo Daliboru Milanoviću.

Kernel

Na pomoći zahvaljujemo anonimnom istraživaču.

libnetcore

Na pomoći zahvaljujemo Hoffconi iz tima ByteDance IES Red.

Messages

Na pomoći zahvaljujemo Paulu Henriku Batisti Rosi de Castro (@paulohbrc).

MobileGestalt

Na pomoći zahvaljujemo iisBuriju.

MobileLockdown

Na pomoći zahvaljujemo Matthiasu Frielingsdorfu (@helthydriver) iz iVerifyja i anonimnom istraživaču.

NetworkExtension

Na pomoći zahvaljujemo korisniku Andrei-Alexandru Bleorțu.

Phone

Na pomoći zahvaljujemo Abhayju Kailasiji (@abhay_kailasia) (C-DAC, Thiruvananthapuram, Indija).

Photos

Na pomoći zahvaljujemo Yusufu Kelanyju.

Safari

Na pomoći zahvaljujemo korisnicima Akash Labade, Narendra Bhati, voditelju kibernetičke sigurnosti u Suma Softu Pvt. Ltd, Pune (India) na pomoći.

Screenshots

Na pomoći zahvaljujemo anonimnom istraživaču.

Shortcuts

Na pomoći zahvaljujemo korisnicima Candace Jensen (Kandji), Chi Yuan Chang (ZUSO ART), taikosoup, Egor Filatov (Positive Technologies), Monnier Pascaud.

Siri Suggestions

Zahvaljujemo na pomoći Jakeu Derouinu (jakederouin.com).

Spotlight

Na pomoći zahvaljujemo Abhayju Kailasiji (@abhay_kailasia) (C-DAC, Thiruvananthapuram, Indija).

WebKit

Na pomoći zahvaljujemo Mikeu Doughertyju i Danielu Whiteu (Google Chrome) te anonimnom istraživaču.

Informacije koje Apple daje o proizvodima koje nije on proizveo ili neovisnim web-stranicama nad kojima nema nadzor niti ih je testirao ne podrazumijevaju da te proizvode Apple preporučuje niti da za njih daje podršku. Apple nije odgovoran za odabir, performanse ni korištenje web-stranica ili proizvoda drugih proizvođača. Apple ne iznosi mišljenja o točnosti ni pouzdanosti web-stranica drugih proizvođača. Dodatne informacije zatražite od dobavljača proizvoda.

Datum objave: 31. srpnja 2025.