Over de beveiligingsinhoud van visionOS 26.2

In dit document wordt de beveiligingsinhoud van visionOS 26.2 beschreven.

Over Apple beveiligingsupdates

Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Recente releases staan vermeld op de pagina Apple beveiligingsreleases.

Apple beveiligingsdocumenten verwijzen waar mogelijk naar kwetsbaarheden met CVE-ID.

Raadpleeg de pagina Apple productbeveiliging voor meer informatie over beveiliging.

visionOS 26.2

App Store

Beschikbaar voor: Apple Vision Pro (alle modellen)

Impact: een app kan toegang krijgen tot vertrouwelijke betalingstokens

Beschrijving: een probleem met bevoegdheden is verholpen met aanvullende beperkingen.

CVE-2025-46288: floeki, Zhongcheng Li van IES Red Team van ByteDance

AppleJPEG

Beschikbaar voor: Apple Vision Pro (alle modellen)

Impact: het verwerken van een bestand kan leiden tot geheugenbeschadiging

Beschrijving: het probleem is verholpen door verbeterde bereikcontroles.

CVE-2025-43539: Michael Reeves (@IntegralPilot)

Calling Framework

Beschikbaar voor: Apple Vision Pro (alle modellen)

Impact: een aanvaller kan mogelijk het FaceTime-nummer vervalsen

Beschrijving: een probleem met een inconsistente gebruikersinterface is verholpen door verbeterd statusbeheer.

CVE-2025-46287: een anonieme onderzoeker, Riley Walz

curl

Beschikbaar voor: Apple Vision Pro (alle modellen)

Impact: meerdere problemen in curl

Beschrijving: dit is een kwetsbaarheid in opensourcecode en Apple Software is een van de getroffen projecten. De CVE-ID is toegewezen door derden. Ga voor meer informatie over dit probleem en CVE-ID naar cve.org.

CVE-2024-7264

CVE-2025-9086

FaceTime

Beschikbaar voor: Apple Vision Pro (alle modellen)

Impact: wachtwoordvelden kunnen onbedoeld worden getoond wanneer een apparaat wordt beheerd op afstand via FaceTime

Beschrijving: dit probleem is verholpen door verbeterd statusbeheer.

CVE-2025-43542: Yiğit Ocak

Foundation

Beschikbaar voor: Apple Vision Pro (alle modellen)

Impact: het verwerken van kwaadaardige gegevens kan leiden tot het onverwacht beëindigen van apps

Beschrijving: een probleem met geheugenbeschadiging is verholpen door een verbeterde controle van de grenzen.

CVE-2025-43532: Andrew Calvano en Lucas Pinheiro van Meta Product Security

Icons

Beschikbaar voor: Apple Vision Pro (alle modellen)

Impact: een app kan mogelijk identificeren welke andere apps een gebruiker heeft geïnstalleerd

Beschrijving: een probleem met bevoegdheden is verholpen met aanvullende beperkingen.

CVE-2025-46279: Duy Trần (@khanhduytran0)

Kernel

Beschikbaar voor: Apple Vision Pro (alle modellen)

Impact: een app kan toegang krijgen tot rootbevoegdheden

Beschrijving: een probleem met overloop van gehele getallen is verholpen door 64-bits tijdstempels te gebruiken.

CVE-2025-46285: Kaitao Xie en Xiaolong Bai van Alibaba Group

Messages

Beschikbaar voor: Apple Vision Pro (alle modellen)

Impact: een app kan toegang krijgen tot vertrouwelijke gebruikersgegevens

Beschrijving: een probleem met vrijgave van gegevens is verholpen met verbeterde privacyregelaars.

CVE-2025-46276: Rosyna Keller van Totally Not Malicious Software

Multi-Touch

Beschikbaar voor: Apple Vision Pro (alle modellen)

Impact: een schadelijk HID-apparaat kan een onverwachte procescrash veroorzaken

Beschrijving: meerdere problemen met geheugenbeschadiging zijn verholpen door verbeterde invoervalidatie.

CVE-2025-43533: Google Threat Analysis Group

Photos

Beschikbaar voor: Apple Vision Pro (alle modellen)

Impact: foto's in het album 'Verborgen' kunnen mogelijk zonder validatie worden bekeken

Beschrijving: een configuratieprobleem is verholpen door extra beperkingen.

CVE-2025-43428: een anonieme onderzoeker, Michael Schmutzer van de Technische Hochschule Ingolstadt

Screen Time

Beschikbaar voor: Apple Vision Pro (alle modellen)

Impact: een app kan toegang krijgen tot vertrouwelijke gebruikersgegevens

Beschrijving: een probleem met logboekregistratie is verholpen door een verbeterde manier van onleesbaar maken van gegevens.

CVE-2025-43538: Iván Savransky

WebKit

Beschikbaar voor: Apple Vision Pro (alle modellen)

Impact: het verwerken van kwaadwillig vervaardigd webmateriaal kan leiden tot een onverwachte crash van Safari

Beschrijving: een type confusion-probleem is verholpen door een verbeterde statusverwerking.

CVE-2025-43541: Hossein Lotfi (@hosselot) van het Zero Day Initiative van Trend Micro

WebKit

Beschikbaar voor: Apple Vision Pro (alle modellen)

Impact: het verwerken van kwaadwillig vervaardigd webmateriaal kan leiden tot een onverwachte procescrash

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

CVE-2025-43535: Google Big Sleep, Nan Wang (@eternalsakura13)

WebKit

Beschikbaar voor: Apple Vision Pro (alle modellen)

Impact: het verwerken van kwaadwillig vervaardigd webmateriaal kan leiden tot een onverwachte procescrash

Beschrijving: een probleem met bufferoverloop is verholpen door verbeterde verwerking van het geheugen.

CVE-2025-43501: Hossein Lotfi (@hosselot) van het Zero Day Initiative van Trend Micro

WebKit

Beschikbaar voor: Apple Vision Pro (alle modellen)

Impact: het verwerken van kwaadwillig vervaardigd webmateriaal kan leiden tot een onverwachte procescrash

Beschrijving: een race condition is verholpen door een verbeterde statusverwerking.

CVE-2025-43531: Phil Pizlo van Epic Games

WebKit

Beschikbaar voor: Apple Vision Pro (alle modellen)

Impact: het verwerken van kwaadwillig vervaardigd webmateriaal kan leiden tot het uitvoeren van willekeurige code. Apple is op de hoogte van een melding dat er mogelijk misbruik is gemaakt van dit probleem bij een uiterst geavanceerde aanval tegen specifiek getargete personen in oudere versies van iOS dan iOS 26. CVE-2025-14174 is ook uitgebracht in reactie op deze melding.

Beschrijving: een use-after-free-probleem is verholpen door verbeterd geheugenbeheer.

CVE-2025-43529: Google Threat Analysis Group

WebKit

Beschikbaar voor: Apple Vision Pro (alle modellen)

Impact: het verwerken van kwaadwillig vervaardigd webmateriaal kan leiden tot geheugenbeschadiging. Apple is op de hoogte van een melding dat er mogelijk misbruik is gemaakt van dit probleem bij een uiterst geavanceerde aanval tegen specifiek getargete personen in oudere versies van iOS dan iOS 26. CVE-2025-43529 is ook uitgebracht in reactie op deze melding.

Beschrijving: een probleem met geheugenbeschadiging is verholpen door verbeterde validatie.

CVE-2025-14174: Apple en Google Threat Analysis Group

WebKit Web Inspector

Beschikbaar voor: Apple Vision Pro (alle modellen)

Impact: het verwerken van kwaadwillig vervaardigd webmateriaal kan leiden tot een onverwachte procescrash

Beschrijving: een use-after-free-probleem is verholpen door verbeterd geheugenbeheer.

CVE-2025-43511: 이동하 (Lee Dong Ha van BoB 14th)

Aanvullende erkenning

AppleMobileFileIntegrity

Met dank aan een anonieme onderzoeker voor de hulp.

Core Services

Met dank aan Golden Helm Securities voor de hulp.

Safari

Met dank aan Mochammad Nosa Shandy Prastyo voor de hulp.

WebKit

Met dank aan Geva Nurgandi Syahputra (gevakun) voor de hulp.