visionOS 2.5のセキュリティコンテンツについて
visionOS 2.5のセキュリティコンテンツについて説明します。
Appleセキュリティアップデートについて
Appleでは、ユーザ保護の観点から、調査が終了してパッチやリリースが公開されるまでは、セキュリティ上の問題を公開、説明、または是認いたしません。最新のリリースについては、「Appleのセキュリティリリース」ページに一覧形式でまとめています。
Appleのセキュリティ関連の文書では、可能な場合、脆弱性のCVE-IDに言及しています。
セキュリティについて詳しくは、Apple製品のセキュリティに関するページを参照してください。
visionOS 2.5
2025年5月12日リリース
AppleJPEG
対象：Apple Vision Pro
影響：悪意を持って作成されたメディアファイルを処理すると、アプリが予期せず終了したり、プロセスメモリが破損したりする可能性がある。
説明：入力のサニタイズ処理を強化することで、この問題に対処しました。
CVE-2025-31251：Trend Micro Zero Day InitiativeのHossein Lotfi氏（@hosselot）
Core Bluetooth
対象：Apple Vision Pro
影響：アプリが機微なユーザデータにアクセスできる可能性がある。
説明：ステート管理を改善し、この問題に対処しました。
CVE-2025-31212：Best Buddy AppsのGuilherme Rambo氏（rambo.codes）
CoreAudio
対象：Apple Vision Pro
影響：ファイルを解析すると、アプリが予期せず終了する可能性がある。
説明：チェックを強化することで、この問題に対処しました。
CVE-2025-31208：Trend Micro Zero Day InitiativeのHossein Lotfi氏（@hosselot）
CoreGraphics
対象：Apple Vision Pro
影響：ファイルを解析すると、ユーザ情報が漏洩する可能性がある。
説明：配列境界チェック機能を改善することで、領域外読み込みの脆弱性に対処しました。
CVE-2025-31209:：Trend Micro Zero Day InitiativeのHossein Lotfi氏（@hosselot）
CoreMedia
対象：Apple Vision Pro
影響：ファイルを解析すると、アプリが予期せず終了する可能性がある。
説明：メモリ管理を強化し、解放済みメモリ使用（use-after-free）の脆弱性に対処しました。
CVE-2025-31239：Trend Micro Zero Day InitiativeのHossein Lotfi氏（@hosselot）
CoreMedia
対象：Apple Vision Pro
影響：悪意を持って作成されたビデオファイルを処理すると、アプリが予期せず終了したり、プロセスメモリが破損したりする可能性がある。
説明：入力のサニタイズ処理を強化することで、この問題に対処しました。
CVE-2025-31233：Trend Micro Zero Day InitiativeのHossein Lotfi氏（@hosselot）
iCloud Document Sharing
対象：Apple Vision Pro
影響：攻撃者が認証を経ずにiCloudフォルダの共有を有効にできる可能性がある。
説明：この問題は、追加のエンタイトルメントチェックを設けることで解決されました。
CVE-2025-30448：Atredis PartnersのDayton Pidhirney氏、Lyutoon氏およびYenKoc氏
ImageIO
対象：Apple Vision Pro
影響：悪意を持って作成された画像を処理すると、サービス運用妨害を受ける可能性がある。
説明：チェックを強化し、ロジックの脆弱性に対処しました。
CVE-2025-31226：Saagar Jha氏
Kernel
対象：Apple Vision Pro
影響：リモートの攻撃者がシステムを予期せず終了させる可能性がある。
説明：チェックを強化することで、この問題に対処しました。
CVE-2025-24224：Tony Iskow氏（@Tybbow）
2025年7月29日に追加
Kernel
対象：Apple Vision Pro
影響：攻撃者によって突然システムが終了されたり、カーネルメモリが破損される可能性がある。
説明：メモリ処理を改善することで、この問題に対処しました。
CVE-2025-31219：Trend Micro Zero Day InitiativeのMichael DePlante氏（@izobashi）およびLucas Leong氏（@_wmliang_）
Kernel
対象：Apple Vision Pro
影響：リモート攻撃者によってアプリが突然終了される可能性がある。
説明：メモリ管理を強化し、ダブルフリー（二重解放）の脆弱性に対処しました。
CVE-2025-31241：Christian Kohlschütter氏
libexpat
対象：Apple Vision Pro
影響：libexpatの複数の脆弱性が原因で、アプリを突然終了されたり、任意のコードを実行されたりする可能性がある。
説明：これはオープンソースコードにおける脆弱性であり、この脆弱性の影響を受けるプロジェクトにはAppleソフトウェアも含まれます。CVE-IDはサードパーティによって割り当てられました。この問題やCVE-IDについて詳しくは、cve.orgを参照してください。
CVE-2024-8176
mDNSResponder
対象：Apple Vision Pro
影響：ユーザが権限を昇格できる場合がある。
説明：チェックを改善して、精度の問題に対処しました。
CVE-2025-31222：Paweł Płatek氏（Trail of Bits）
Pro Res
対象：Apple Vision Pro
影響：アプリがシステムを予期せず終了させる可能性がある。
説明：チェックを強化することで、この問題に対処しました。
CVE-2025-31245：wac氏
Pro Res
対象：Apple Vision Pro
影響：攻撃者によって突然システムが終了されたり、カーネルメモリが破損される可能性がある。
説明：入力のサニタイズ処理を強化することで、この問題に対処しました。
CVE-2025-31234：CertiK氏（@CertiK）
Security
対象：Apple Vision Pro
影響：リモートの攻撃者が、メモリを漏洩させる可能性がある。
説明：入力検証を強化することで、整数オーバーフローに対処しました。
CVE-2025-31221：Dave G.氏
WebKit
対象：Apple Vision Pro
影響：型の取り違え（type confusion）の問題により、メモリが破損する可能性がある。
説明：浮動小数点の処理を改善することで、この問題に対処しました。
WebKit Bugzilla：286694
CVE-2025-24213：Google V8 Security Team
WebKit
対象：Apple Vision Pro
影響：悪意を持って作成されたWebコンテンツを処理すると、メモリ破損が起こる可能性がある。
説明：チェックを強化することで、この問題に対処しました。
WebKit Bugzilla：289387
CVE-2025-31223：Nosebeard LabsのAndreas Jaegersberger氏およびRo Achterberg氏
WebKit Bugzilla：289653
CVE-2025-31238：Trend Micro Zero Day Initiativeに協力するwac氏
WebKit
対象：Apple Vision Pro
影響：悪意を持って作成されたWebコンテンツを処理すると、メモリ破損が起こる可能性がある。
説明：メモリ処理を改善することで、この問題に対処しました。
WebKit Bugzilla：287577
CVE-2025-24223：rheza氏（@ginggilBesel）および匿名の研究者
WebKit Bugzilla：291506
CVE-2025-31204：Nan Wang氏（@eternalsakura13）
WebKit
対象：Apple Vision Pro
影響：悪意を持って作成されたWebコンテンツを処理すると、Safariが予期せずクラッシュする可能性がある。
説明：入力検証を強化することで、この問題に対処しました。
WebKit Bugzilla：289677
CVE-2025-31217：Ignacio Sanmillan氏（@ulexec）
WebKit
対象：Apple Vision Pro
影響：悪意を持って作成されたWebコンテンツを処理すると、プロセスが予期せずクラッシュする可能性がある。
説明：チェックを強化することで、この問題に対処しました。
WebKit Bugzilla：288814
CVE-2025-31215：Jiming Wang氏、Jikai Ren氏
WebKit
対象：Apple Vision Pro
影響：悪意を持って作成されたWebコンテンツを処理すると、Safariが予期せずクラッシュする可能性がある。
説明：ステート処理を強化し、型の取り違え（type confusion）の脆弱性に対処しました。
WebKit Bugzilla：290834
CVE-2025-31206：匿名の研究者
WebKit
対象：Apple Vision Pro
影響：悪意のあるWebサイトに、データをクロスオリジンで取得される可能性がある。
説明：チェックを強化することで、この問題に対処しました。
WebKit Bugzilla：290992
CVE-2025-31205：Google Project ZeroのIvan Fratric氏
WebKit
対象：Apple Vision Pro
影響：悪意を持って作成されたWebコンテンツを処理すると、Safariが予期せずクラッシュする可能性がある。
説明：メモリ処理を改善することで、この問題に対処しました。
WebKit Bugzilla：290985
CVE-2025-31257：Lynck GmbHのJuergen Schmied氏
ご協力いただいたその他の方々
AirDrop
Dalibor Milanovic氏のご協力に感謝いたします。
Kernel
匿名の研究者のご協力に感謝いたします。
libnetcore
ByteDance IES Red TeamのHoffcona氏のご協力に感謝いたします。
MobileGestalt
iisBuri氏のご協力に感謝いたします。
NetworkExtension
Andrei-Alexandru Bleorțu氏のご協力に感謝いたします。
Safari
Akash Labade氏、Suma Soft Pvt. Ltd.（インド、プネー）のサイバーセキュリティマネージャのNarendra Bhati氏のご協力に感謝いたします。
Shortcuts
KandjiのCandace Jensen氏、ZUSO ARTおよびtaikosoupのChi Yuan Chang氏、Egor Filatov氏（Positive Technologies）、Monnier Pascaud氏のご協力に感謝いたします。
WebKit
Google ChromeのMike Dougherty氏およびDaniel White氏、匿名の研究者のご協力に感謝いたします。
Apple が製造していない製品に関する情報や、Apple が管理または検証していない個々の Web サイトについては、推奨や承認なしで提供されています。Apple は他社の Web サイトや製品の選択、性能、使用に関しては一切責任を負いません。Apple は他社の Web サイトの正確性や信頼性についてはいかなる表明もいたしません。詳しくは各メーカーや開発元にお問い合わせください。