Zawartość związana z zabezpieczeniami w systemach iOS 18.6 i iPadOS 18.6

W tym dokumencie opisano zawartość związaną z zabezpieczeniami w systemach iOS 18.6 i iPadOS 18.6.

Uaktualnienia zabezpieczeń Apple

W celu ochrony swoich klientów Apple nie ujawnia, nie omawia ani nie potwierdza zagrożeń bezpieczeństwa przed ich zbadaniem i udostępnieniem poprawek lub wersji oprogramowania. Najnowsze wersje są wymienione na stronie Wersje uaktualnień Apple.

Gdy jest to możliwe, w dokumentach Apple dotyczących bezpieczeństwa odniesienia do luk w zabezpieczeniach są wykonywane za pomocą identyfikatorów CVE.

Więcej informacji na temat zabezpieczeń jest dostępnych na stronie Bezpieczeństwo produktów firmy Apple.

iOS 18.6 oraz iPadOS 18.6

Wydano wtorek, 29 lipca 2025 r.

Accessibility

Dostępne dla: iPhone’a XS i nowszych, iPada Pro 13 cali, iPada Pro 12,9 cala 3. generacji i nowszych, iPada Pro 11 cali 1. generacji i nowszych, iPada Air 3. generacji i nowszych, iPada 7. generacji i nowszych oraz iPada mini 5. generacji i nowszych

Zagrożenie: hasło może zostać odczytane na głos przez VoiceOver.

Opis: naprawiono błąd logiczny przez poprawienie procedur sprawdzania.

CVE-2025-31229: Wong Wee Xiang

Accessibility

Zagrożenie: wskaźniki prywatności dotyczące dostępu do mikrofonu lub aparatu mogą być nieprawidłowo wyświetlane.

Opis: ten problem rozwiązano przez dodanie dodatkowych procedur logicznych.

CVE-2025-43217: Himanshu Bharti (@Xpl0itme)

afclip

Zagrożenie: analiza składni pliku może doprowadzić do nieoczekiwanego zakończenia działania aplikacji.

Opis: ten błąd naprawiono przez ulepszenie obsługi pamięci.

CVE-2025-43186: Hossein Lotfi (@hosselot) w ramach programu Zero Day Initiative firmy Trend Micro

CFNetwork

Zagrożenie: użytkownik bez uprawnień może być w stanie zmodyfikować ustawienia sieci z ograniczeniami

Opis: usunięto błąd typu „odmowa usługi” przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2025-43223: Andreas Jaegersberger i Ro Achterberg z Nosebeard Labs

CoreAudio

Zagrożenie: przetworzenie złośliwie spreparowanego pliku audio mogło doprowadzić do uszkodzenia pamięci.

Opis: ten błąd naprawiono przez ulepszenie obsługi pamięci.

CVE-2025-43277: Google Threat Analysis Group

CoreMedia

Zagrożenie: przetworzenie złośliwie spreparowanego pliku multimedialnego może spowodować nieoczekiwane zakończenie działania aplikacji lub uszkodzenie pamięci procesowej.

Opis: usunięto błąd dostępu spoza zakresu przez poprawienie mechanizmu sprawdzania ograniczeń.

CVE-2025-43210: Hossein Lotfi (@hosselot) w ramach programu Zero Day Initiative firmy Trend Micro

CoreMedia Playback

Zagrożenie: aplikacja może być w stanie uzyskać dostęp do poufnych danych użytkownika.

Opis: błąd naprawiono przez wprowadzenie dodatkowych procedur sprawdzania uprawnień.

CVE-2025-43230: Chi Yuan Chang z ZUSO ART i taikosoup

ICU

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości www może doprowadzić do nieoczekiwanej awarii przeglądarki Safari.

Opis: usunięto błąd dostępu spoza zakresu przez poprawienie mechanizmu sprawdzania ograniczeń.

CVE-2025-43209: Gary Kwong w ramach programu Zero Day Initiative firmy Trend Micro

ImageIO

Zagrożenie: przetworzenie złośliwie spreparowanego obrazu może doprowadzić do ujawnienia pamięci procesowej

Opis: usunięto błąd odczytu spoza zakresu przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2025-43226

libnetcore

Zagrożenie: przetworzenie pliku mogło doprowadzić do uszkodzenia pamięci.

Opis: ten błąd naprawiono przez poprawienie procedury obsługi pamięci.

CVE-2025-43202: Brian Carpenter

libxml2

Zagrożenie: przetworzenie pliku mogło doprowadzić do uszkodzenia pamięci.

Opis: jest to luka w kodzie open source, a oprogramowanie Apple jest jednym z wielu dotkniętych problemem. Ten identyfikator CVE został przypisany przez podmiot zewnętrzny. Dowiedz się więcej o problemie i identyfikatorze CVE na stronie cve.org.

CVE-2025-7425: Sergei Glazunov z Google Project Zero

libxslt

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości www może doprowadzić do uszkodzenia zawartości pamięci.

CVE-2025-7424: Ivan Fratric z Google Project Zero

Mail Drafts

Zagrożenie: zdalna zawartość może zostać załadowana, nawet gdy ustawienie „Wczytuj zdalne obrazy” jest wyłączone.

Opis: ten problem rozwiązano przez poprawienie zarządzania stanem.

CVE-2025-31276: Himanshu Bharti (@Xpl0itme)

Metal

Zagrożenie: przetworzenie złośliwie spreparowanej tekstury może spowodować nieoczekiwane zamknięcie aplikacji.

Opis: naprawiono wiele błędów powodujących uszkodzenie zawartości pamięci przez poprawienie procedury sprawdzania poprawności danych wejściowych.

CVE-2025-43234: Vlad Stolyarov z Google Threat Analysis Group

Model I/O

Zagrożenie: przetworzenie złośliwie spreparowanego pliku multimedialnego może spowodować nieoczekiwane zakończenie działania aplikacji lub uszkodzenie pamięci procesowej.

Opis: usunięto błąd dostępu spoza zakresu przez poprawienie mechanizmu sprawdzania ograniczeń.

CVE-2025-43224: Michael DePlante (@izobashi) w ramach programu Zero Day Initiative firmy Trend Micro

CVE-2025-43221: Michael DePlante (@izobashi) w ramach programu Zero Day Initiative firmy Trend Micro

Model I/O

Zagrożenie: przetworzenie złośliwie spreparowanego pliku może spowodować nieoczekiwane zamknięcie aplikacji.

Opis: usunięto błąd sprawdzania poprawności danych wejściowych przez poprawienie obsługi pamięci.

CVE-2025-31281: Michael DePlante (@izobashi) w ramach programu Zero Day Initiative firmy Trend Micro

WebKit

Zagrożenie: odwiedzenie złośliwej witryny internetowej może doprowadzić do sfałszowania paska adresu.

Opis: ten błąd naprawiono przez ulepszenie interfejsu użytkownika.

WebKit Bugzilla: 294374

CVE-2025-43228: Jaydev Ahire

WebKit

Zagrożenie: przetwarzanie złośliwie spreparowanej zawartości www może ujawnić poufne informacje użytkownika.

Opis: ten problem rozwiązano przez poprawienie zarządzania stanem.

WebKit Bugzilla: 292888

CVE-2025-43227: Gilad Moav

WebKit

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości www może doprowadzić do uszkodzenia zawartości pamięci.

Opis: ten błąd naprawiono przez ulepszenie obsługi pamięci.

WebKit Bugzilla: 291742

CVE-2025-31278: Yuhao Hu, Yan Kang, Chenggang Wu i Xiaojie Wei

WebKit Bugzilla: 291745

CVE-2025-31277: Yuhao Hu, Yan Kang, Chenggang Wu i Xiaojie Wei

WebKit Bugzilla: 293579

CVE-2025-31273: Yuhao Hu, Yan Kang, Chenggang Wu i Xiaojie Wei

WebKit

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości www może doprowadzić do nieoczekiwanej awarii przeglądarki Safari.

Opis: ten błąd naprawiono przez ulepszenie obsługi pamięci.

WebKit Bugzilla: 292599

CVE-2025-43214: shandikri pracujący w ramach programu Zero Day Initiative firmy Trend Micro, zespół Google V8 Security

WebKit Bugzilla: 292621

CVE-2025-43213: Google V8 Security Team

WebKit Bugzilla: 293197

CVE-2025-43212: Nan Wang (@eternalsakura13) i Ziling Chen

WebKit

Zagrożenie: przetworzenie zawartości internetowej może doprowadzić do ataku typu „odmowa usługi”.

Opis: ten błąd naprawiono przez ulepszenie obsługi pamięci.

WebKit Bugzilla: 293730

CVE-2025-43211: Yuhao Hu, Yan Kang, Chenggang Wu i Xiaojie Wei

WebKit

Zagrożenie: przetwarzanie złośliwie spreparowanej zawartości www może ujawnić wewnętrzne stany aplikacji.

Opis: usunięto błąd odczytu spoza zakresu przez poprawienie procedury sprawdzania poprawności danych wejściowych.

WebKit Bugzilla: 294182

CVE-2025-43265: HexRabbit (@h3xr4bb1t) z zespołu badawczego DEVCORE

WebKit

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości www może doprowadzić do nieoczekiwanej awarii przeglądarki Safari.

Opis: usunięto błąd dotyczący użycia pamięci po jej zwolnieniu przez poprawienie procedury obsługi pamięci.

WebKit Bugzilla: 295382

CVE-2025-43216: Ignacio Sanmillan (@ulexec)

WebKit

Zagrożenie: przetworzenie złośliwie spreparowanej zawartości www może doprowadzić do nieoczekiwanej awarii przeglądarki Safari.

WebKit Bugzilla: 296459

CVE-2025-6558: Clément Lecigne i Vlad Stolyarov z Threat Analysis Group firmy Google

Dodatkowe podziękowania

Accessibility

Dziękujemy za udzieloną pomoc: Abhay Kailasia (@abhay_kailasia) z C-DAC Thiruvananthapuram India, Hamza BHP, Himanshu Bharti (@Xpl0itme).

Activation Lock

Dziękujemy za udzieloną pomoc: salemdomain.

Bluetooth

Dziękujemy za udzieloną pomoc: LIdong LI, Xiao Wang, Shao Dong Chen i Chao Tan z Source Guard.

CoreAudio

Dziękujemy za udzieloną pomoc: Noah Weinberg.

Device Management

Dziękujemy za udzieloną pomoc: Al Karak.

libxml2

Dziękujemy za udzieloną pomoc: Sergei Glazunov z Google Project Zero.

libxslt

Dziękujemy za udzieloną pomoc: Ivan Fratric z Google Project Zero.

Managed Configuration

Dziękujemy za udzieloną pomoc: Bill Marczak z The Citizen Lab w Munk School (University of Toronto).

Photos

Dziękujemy anonimowemu badaczowi za pomoc.

Safari

Dziękujemy za udzieloną pomoc: Ameen Basha M K.

Shortcuts

Dziękujemy za udzieloną pomoc: Dennis Kniep.

Siri

Dziękujemy za udzieloną pomoc: Timo Hetzel.

WebKit

Dziękujemy za udzieloną pomoc: zespół Google V8 Security, Yuhao Hu, Yan Kang, Chenggang Wu i Xiaojie Wei, rheza (@ginggilBesel).

Przedstawione informacje dotyczące produktów, które nie zostały wyprodukowane przez firmę Apple, bądź niezależnych witryn internetowych, które nie są kontrolowane ani testowane przez firmę Apple, nie mają charakteru rekomendacji. Firma Apple nie ponosi odpowiedzialności za wybór, działanie lub wykorzystanie witryn bądź produktów innych firm. Firma Apple nie składa żadnych oświadczeń dotyczących dokładności ani wiarygodności witryn internetowych innych firm. Skontaktuj się z dostawcą, aby uzyskać dodatkowe informacje.

Data publikacji: 1 sierpnia 2025 г.