Zawartość związana z zabezpieczeniami w systemie macOS Sequoia 15.5

W tym dokumencie opisano zawartość związaną z zabezpieczeniami w systemie macOS Sequoia 15.5.

Uaktualnienia zabezpieczeń Apple

W celu ochrony swoich klientów Apple nie ujawnia, nie omawia ani nie potwierdza zagrożeń bezpieczeństwa przed ich zbadaniem i udostępnieniem poprawek lub wersji oprogramowania. Najnowsze wersje są wymienione na stronie Wersje uaktualnień Apple.

Gdy jest to możliwe, w dokumentach Apple dotyczących bezpieczeństwa odniesienia do luk w zabezpieczeniach są wykonywane za pomocą identyfikatorów CVE.

Więcej informacji na temat zabezpieczeń jest dostępnych na stronie Bezpieczeństwo produktów firmy Apple.

macOS Sequoia 15.5

afpfs

Dostępne dla: systemu macOS Sequoia

Zagrożenie: połączenie ze złośliwym serwerem AFP może spowodować uszkodzenie pamięci jądra.

Opis: ten błąd naprawiono przez ulepszenie obsługi pamięci.

CVE-2025-31246: Joseph Ravichandran (@0xjprx) Z MIT CSAIL

afpfs

Dostępne dla: systemu macOS Sequoia

Zagrożenie: zamontowanie złośliwie spreparowanego udziału sieciowego AFP może spowodować nieoczekiwane zamknięcie systemu.

Opis: ten błąd naprawiono przez poprawienie sprawdzania.

CVE-2025-31240: Dave G.

CVE-2025-31237: Dave G.

Apple Intelligence Reports

Dostępne dla: systemu macOS Sequoia

Zagrożenie: aplikacja może być w stanie uzyskać dostęp do poufnych danych użytkownika.

Opis: naprawiono błąd dotyczący uprawnień przez wprowadzenie dodatkowych ograniczeń.

CVE-2025-31260: Thomas Völkl (@vollkorntomate), SEEMOO, TU Darmstadt

AppleJPEG

Dostępne dla: systemu macOS Sequoia

Zagrożenie: przetworzenie złośliwie spreparowanego pliku multimedialnego może spowodować nieoczekiwane zakończenie działania aplikacji lub uszkodzenie pamięci procesowej.

Opis: naprawiono błąd przez poprawienie mechanizmu oczyszczania danych wejściowych.

CVE-2025-31251: Hossein Lotfi (@hosselot) w ramach programu Zero Day Initiative firmy Trend Micro

Audio

Dostępne dla: systemu macOS Sequoia

Zagrożenie: aplikacja może być w stanie spowodować nieoczekiwane zakończenie działania systemu.

Opis: naprawiono błąd dwukrotnego zwolnienia pamięci przez poprawienie procedury zarządzania pamięcią.

CVE-2025-31235: Dillon Franke pracujący w ramach programu Google Project Zero

BOM

Dostępne dla: systemu macOS Sequoia

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości www może doprowadzić do nieoczekiwanej awarii procesu.

Opis: ten błąd naprawiono przez ulepszenie obsługi pamięci.

CVE-2025-24222: wac w ramach programu Zero Day Initiative firmy Trend Micro

Core Bluetooth

Dostępne dla: systemu macOS Sequoia

Zagrożenie: aplikacja może być w stanie uzyskać dostęp do poufnych danych użytkownika.

Opis: ten problem rozwiązano przez poprawienie zarządzania stanem.

CVE-2025-31212: Guilherme Rambo z Best Buddy Apps (rambo.codes)

CoreAudio

Dostępne dla: systemu macOS Sequoia

Zagrożenie: analiza składni pliku może doprowadzić do nieoczekiwanego zakończenia działania aplikacji.

Opis: ten błąd naprawiono przez ulepszenie sprawdzania.

CVE-2025-31208: Hossein Lotfi (@hosselot) w ramach programu Zero Day Initiative firmy Trend Micro

CoreGraphics

Dostępne dla: systemu macOS Sequoia

Zagrożenie: analiza składni pliku może doprowadzić do ujawnienia informacji o użytkowniku.

Opis: naprawiono błąd odczytu spoza zakresu przez poprawienie mechanizmu sprawdzania ograniczeń.

CVE-2025-31209: Hossein Lotfi (@hosselot) w ramach programu Zero Day Initiative firmy Trend Micro

CoreMedia

Dostępne dla: systemu macOS Sequoia

Zagrożenie: analiza składni pliku może doprowadzić do nieoczekiwanego zakończenia działania aplikacji.

Opis: usunięto błąd dotyczący użycia pamięci po jej zwolnieniu przez poprawienie procedury obsługi pamięci.

CVE-2025-31239: Hossein Lotfi (@hosselot) w ramach programu Zero Day Initiative firmy Trend Micro

CoreMedia

Dostępne dla: systemu macOS Sequoia

Zagrożenie: przetworzenie złośliwie spreparowanego pliku wideo może spowodować nieoczekiwane zakończenie działania aplikacji lub uszkodzenie pamięci procesowej.

Opis: naprawiono błąd przez poprawienie mechanizmu oczyszczania danych wejściowych.

CVE-2025-31233: Hossein Lotfi (@hosselot) w ramach programu Zero Day Initiative firmy Trend Micro

Finder

Dostępne dla: systemu macOS Sequoia

Zagrożenie: aplikacja może być w stanie uzyskać dostęp do poufnych danych użytkownika.

Opis: usunięto błąd dotyczący ujawniania pamięci przez poprawienie mechanizmów kontroli prywatności.

CVE-2025-31236: Kirin@Pwnrin i LFY@secsys z Fudan University

Found in Apps

Dostępne dla: systemu macOS Sequoia

Zagrożenie: aplikacja może być w stanie uzyskać dostęp do poufnych danych użytkownika.

Opis: rozwiązano problem z prywatnością przez usunięcie kodu związanego z luką w zabezpieczeniach.

CVE-2025-30443: Bohdan Stasiuk (@bohdan_stasiuk)

ImageIO

Dostępne dla: systemu macOS Sequoia

Zagrożenie: przetworzenie złośliwie spreparowanego obrazu może doprowadzić do ataku typu „odmowa usługi”.

Opis: naprawiono błąd logiczny przez poprawienie procedur sprawdzania.

CVE-2025-31226: Saagar Jha

Installer

Dostępne dla: systemu macOS Sequoia

Zagrożenie: aplikacja w piaskownicy może być w stanie uzyskać dostęp do poufnych danych użytkownika.

Opis: naprawiono błąd logiczny przez poprawienie procedur sprawdzania.

CVE-2025-31232: anonimowy badacz

Kernel

Dostępne dla: systemu macOS Sequoia

Zagrożenie: osoba atakująca zdalnie może być w stanie spowodować nieoczekiwane zakończenie działania systemu.

Opis: ten błąd naprawiono przez ulepszenie sprawdzania.

CVE-2025-24224: Tony Iskow (@Tybbow)

Kernel

Dostępne dla: systemu macOS Sequoia

Zagrożenie: atakujący zdalnie może spowodować nieoczekiwane zakończenie działania aplikacji

Opis: naprawiono błąd dwukrotnego zwolnienia pamięci przez poprawienie procedury zarządzania pamięcią.

CVE-2025-31241: Christian Kohlschütter

Kernel

Dostępne dla: systemu macOS Sequoia

Zagrożenie: atakujący może spowodować nieoczekiwane zamknięcie systemu lub uszkodzenie pamięci jądra

Opis: ten błąd naprawiono przez ulepszenie obsługi pamięci.

CVE-2025-31219: Michael DePlante (@izobashi) i Lucas Leong (@_wmliang_) w ramach programu Zero Day Initiative firmy Trend Micro

libexpat

Dostępne dla: systemu macOS Sequoia

Zagrożenie: wiele problemów w bibliotece libexpat, w tym nieoczekiwane zakończenie działania aplikacji lub wykonanie dowolnego kodu.

Opis: jest to luka w kodzie open source, a oprogramowanie Apple jest jednym z wielu dotkniętych problemem. Ten identyfikator CVE został przypisany przez podmiot zewnętrzny. Dowiedz się więcej o problemie i identyfikatorze CVE-ID na stronie cve.org.

CVE-2024-8176

Libinfo

Dostępne dla: systemu macOS Sequoia

Zagrożenie: aplikacja może być w stanie pominąć ASLR.

Opis: ten błąd naprawiono przez ulepszenie sprawdzania.

CVE-2025-30440: Paweł Płatek (Trail of Bits)

mDNSResponder

Dostępne dla: systemu macOS Sequoia

Zagrożenie: użytkownik może być w stanie podwyższyć poziom uprawnień.

Opis: naprawiono błąd poprawności przez poprawienie sprawdzania.

CVE-2025-31222: Paweł Płatek (Trail of Bits)

Mobile Device Service

Dostępne dla: systemu macOS Sequoia

Zagrożenie: złośliwie spreparowana aplikacja może być w stanie uzyskać uprawnienia użytkownika root.

Opis: usunięto błąd sprawdzania poprawności danych wejściowych przez usunięcie kodu związanego z luką w zabezpieczeniach.

CVE-2025-24274: anonimowy badacz

NetworkExtension

Dostępne dla: systemu macOS Sequoia

Zagrożenie: aplikacja może być w stanie obserwować nazwy hostów nowych połączeń sieciowych.

Opis: usunięto błąd przez usunięcie kodu związanego z luką w zabezpieczeniach.

CVE-2025-31218: Adam M.

Notes

Dostępne dla: systemu macOS Sequoia

Zagrożenie: aktywny narożnik może nieoczekiwanie ujawnić usunięte notatki użytkownika.

Opis: ten problem rozwiązano przez poprawienie obsługi pamięci podręcznych.

CVE-2025-31256: Sourabhkumar Mishra

Notification Center

Dostępne dla: systemu macOS Sequoia

Zagrożenie: aplikacja może być w stanie uzyskać dostęp do poufnych danych użytkownika.

Opis: rozwiązano problem z prywatnością przez poprawienie redagowania prywatnych danych we wpisach dziennika.

CVE-2025-24142: LFY@secsys z Fudan University

OpenSSH

Dostępne dla: systemu macOS Sequoia

Zagrożenie: liczne błędy w protokole OpenSSH

Opis: jest to luka w kodzie open source, a oprogramowanie Apple jest jednym z wielu dotkniętych problemem. Ten identyfikator CVE został przypisany przez podmiot zewnętrzny. Dowiedz się więcej o problemie i identyfikatorze CVE-ID na stronie cve.org.

CVE-2025-26465

CVE-2025-26466

Pro Res

Dostępne dla: systemu macOS Sequoia

Zagrożenie: atakujący może spowodować nieoczekiwane zamknięcie systemu lub uszkodzenie pamięci jądra

Opis: naprawiono błąd przez poprawienie mechanizmu oczyszczania danych wejściowych.

CVE-2025-31234: CertiK (@CertiK)

Pro Res

Dostępne dla: systemu macOS Sequoia

Zagrożenie: aplikacja może być w stanie spowodować nieoczekiwane zakończenie działania systemu.

Opis: ten błąd naprawiono przez ulepszenie sprawdzania.

CVE-2025-31245: wac

quarantine

Dostępne dla: systemu macOS Sequoia

Zagrożenie: aplikacja może być w stanie wydostać się ze swojej piaskownicy.

Opis: naprawiono błąd dotyczący pomijania kwarantanny plików przez wprowadzenie dodatkowych ograniczeń.

CVE-2025-31244: Csaba Fitzl (@theevilbit) z Kandji

RemoteViewServices

Dostępne dla: systemu macOS Sequoia

Zagrożenie: aplikacja może być w stanie wydostać się ze swojej piaskownicy.

Opis: usunięto błąd przez usunięcie kodu związanego z luką w zabezpieczeniach.

CVE-2025-31258: anonimowy badacz

Sandbox

Dostępne dla: systemu macOS Sequoia

Zagrożenie: aplikacja może być w stanie uzyskać dostęp do poufnych danych użytkownika.

Opis: naprawiono błąd logiczny przez poprawienie procedur sprawdzania.

CVE-2025-31249: Ryan Dowd (@_rdowd)

Sandbox

Dostępne dla: systemu macOS Sequoia

Zagrożenie: aplikacja może być w stanie ominąć niektóre preferencje dotyczące prywatności.

Opis: naprawiono błąd logiczny przez poprawienie procedur sprawdzania.

CVE-2025-31224: Csaba Fitzl (@theevilbit) z Kandji

Security

Dostępne dla: systemu macOS Sequoia

Zagrożenie: osoba atakująca zdalnie może ujawnić zawartość pamięci.

Opis: naprawiono błąd przekroczenia zakresu liczb całkowitych przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2025-31221: Dave G.

Security

Dostępne dla: systemu macOS Sequoia

Zagrożenie: aplikacja może być w stanie uzyskać dostęp do powiązanych nazw użytkowników i witryn w pęku kluczy w iCloud użytkownika.

Opis: naprawiono błąd rejestru przez ulepszenie redagowania danych.

CVE-2025-31213: Kirin (@Pwnrin) i 7feilee

SharedFileList

Dostępne dla: systemu macOS Sequoia

Zagrożenie: osoba atakująca może uzyskać dostęp do chronionych części systemu plików.

Opis: naprawiono błąd logiki przez poprawienie zarządzania stanem.

CVE-2025-31247: anonimowy badacz

SoftwareUpdate

Dostępne dla: systemu macOS Sequoia

Zagrożenie: aplikacja może uzyskać podwyższony poziom uprawnień.

Opis: naprawiono błąd przez poprawienie mechanizmu oczyszczania danych wejściowych.

CVE-2025-31259: anonimowy badacz

StoreKit

Dostępne dla: systemu macOS Sequoia

Zagrożenie: aplikacja może być w stanie uzyskać dostęp do poufnych danych użytkownika.

Opis: rozwiązano problem z prywatnością przez poprawienie redagowania prywatnych danych we wpisach dziennika.

CVE-2025-31242: Eric Dorphy z Twin Cities App Dev LLC

TCC

Dostępne dla: systemu macOS Sequoia

Zagrożenie: aplikacja może być w stanie uzyskać dostęp do poufnych danych użytkownika.

Opis: usunięto błąd dotyczący ujawniania pamięci przez poprawienie mechanizmów kontroli prywatności.

CVE-2025-31250: Noah Gregory (wts.dev)

Weather

Dostępne dla: systemu macOS Sequoia

Zagrożenie: złośliwa aplikacja może być w stanie odczytać poufne informacje o lokalizacji.

Opis: rozwiązano problem z prywatnością przez usunięcie poufnych danych.

CVE-2025-31220: Adam M.

WebKit

Dostępne dla: systemu macOS Sequoia

Zagrożenie: problem z nieprawidłowym rozpoznawaniem typu może doprowadzić do uszkodzenia pamięci.

Opis: problem ten rozwiązano, poprawiając obsługę liczb zmiennoprzecinkowych.

CVE-2025-24213: Google V8 Security Team

WebKit

Dostępne dla: systemu macOS Sequoia

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości www może doprowadzić do uszkodzenia zawartości pamięci.

Opis: ten błąd naprawiono przez ulepszenie sprawdzania.

CVE-2025-31223: Andreas Jaegersberger i Ro Achterberg z Nosebeard Labs

CVE-2025-31238: wac pracujący w ramach programu Zero Day Initiative firmy Trend Micro

WebKit

Dostępne dla: systemu macOS Sequoia

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości www może doprowadzić do nieoczekiwanej awarii procesu.

Opis: ten błąd naprawiono przez ulepszenie sprawdzania.

CVE-2025-31215: Jiming Wang i Jikai Ren

WebKit

Dostępne dla: systemu macOS Sequoia

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości www może doprowadzić do uszkodzenia zawartości pamięci.

Opis: ten błąd naprawiono przez ulepszenie obsługi pamięci.

CVE-2025-31204: Nan Wang (@eternalsakura13)

CVE-2025-24223: rheza (@ginggilBesel) i anonimowy badacz

WebKit

Dostępne dla: systemu macOS Sequoia

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości www może doprowadzić do nieoczekiwanej awarii przeglądarki Safari.

Opis: naprawiono błąd nieprawidłowego rozpoznawania pamięci przez poprawienie procedury obsługi pamięci.

CVE-2025-31206: anonimowy badacz

WebKit

Dostępne dla: systemu macOS Sequoia

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości www może doprowadzić do nieoczekiwanej awarii przeglądarki Safari.

Opis: naprawiono błąd przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2025-31217: Ignacio Sanmillan (@ulexec)

WebKit

Dostępne dla: systemu macOS Sequoia

Zagrożenie: złośliwie spreparowana witryna internetowa może przesyłać dane między różnymi źródłami.

Opis: ten błąd naprawiono przez ulepszenie sprawdzania.

CVE-2025-31205: Ivan Fratric z Google Project Zero

WebKit

Dostępne dla: systemu macOS Sequoia

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości www może doprowadzić do nieoczekiwanej awarii przeglądarki Safari.

Opis: ten błąd naprawiono przez poprawienie procedury obsługi pamięci.

CVE-2025-31257: Juergen Schmied z Lynck GmbH

Dodatkowe podziękowania

AirDrop

Dziękujemy za udzieloną pomoc: Dalibor Milanovic.

Foundation

Dziękujemy za udzieloną pomoc: Claudio Bozzato i Francesco Benvenuto z Cisco Talos.

Kernel

Dziękujemy anonimowemu badaczowi za pomoc.

Mail

Dziękujemy za udzieloną pomoc: IES Red Team z ByteDance.

MobileGestalt

Dziękujemy za udzieloną pomoc: iisBuri.

NetworkExtension

Dziękujemy za udzieloną pomoc: Andrei-Alexandru Bleorțu, Dmytro Merkulov.

Notes

Dziękujemy za udzieloną pomoc: YingQi Shi (@Mas0nShi) z laboratorium WeBin firmy DBAppSecurity.

Safari 

Dziękujemy za udzieloną pomoc: @RenwaX23, Akash Labade oraz Narendra Bhati, kierownik ds. cyberbezpieczeństwa w Suma Soft Pvt. Ltd. w Pune (Indie).

Sandbox

Dziękujemy za udzieloną pomoc: Kirin@Pwnrin i LFY@secsys z Fudan University, Tal Lossos, Zhongquan Li (@Guluisacat).

Shortcuts

Dziękujemy za udzieloną pomoc: Candace Jensen of Kandji, Chi Yuan Chang z ZUSO ART i taikosoup, Egor Filatov (Positive Technologies), Marcio Almeida z Tanto Security, Monnier Pascaud, Ron Masas z BREAKPOINT.SH.

WebKit

Dziękujemy za udzieloną pomoc: Mike Dougherty i Daniel White z Google Chrome oraz anonimowy badacz.

XProtect

Dziękujemy za udzieloną pomoc: Csaba Fitzl (@theevilbit) z Kandji.