Сведения о проблемах системы безопасности, устраняемых обновлением macOS Sequoia 15.3

В этом документе описаны проблемы системы безопасности, устраняемые в macOS Sequoia 15.3.

Сведения об обновлениях системы безопасности Apple

В целях защиты клиентов компания Apple не разглашает информацию о проблемах безопасности, не подтверждает ее и не участвует в ее обсуждении до тех пор, пока не будет завершено изучение соответствующей проблемы и не будут опубликованы исправления или новые выпуски. Последние выпуски перечислены на странице Выпуски безопасности Apple.

В документах Apple о безопасности уязвимости обозначаются с помощью кода CVE-ID, когда это возможно.

Дополнительные сведения см. на странице Обращение в Apple по поводу проблем с безопасностью или конфиденциальностью.

macOS Sequoia 15.3

AirPlay

Целевые продукты: macOS Sequoia

Воздействие. Злоумышленник, находящийся в локальной сети, может повредить память процессов.

Описание. Устранена проблема, связанная с проверкой ввода.

CVE-2025-24126: Uri Katz (Oligo Security)

AirPlay

Целевые продукты: macOS Sequoia

Воздействие. Злоумышленник, находящийся в локальной сети, может вызвать неожиданное завершение работы приложения.

Описание. Проблема смешения типов устранена путем улучшенных проверок.

CVE-2025-24129: Uri Katz (Oligo Security)

AirPlay

Целевые продукты: macOS Sequoia

Воздействие. Злоумышленник, находящийся в локальной сети, может вызвать отказ в обслуживании.

Описание. Проблема устранена путем улучшения обработки обращений к памяти.

CVE-2025-24131: Uri Katz (Oligo Security)

AirPlay

Целевые продукты: macOS Sequoia

Воздействие. Злоумышленник, находящийся в локальной сети, может вызвать отказ в обслуживании.

Описание. Проблема разыменования нулевого указателя устранена путем улучшения проверки ввода.

CVE-2025-24177: Uri Katz (Oligo Security)

CVE-2025-24179: Uri Katz (Oligo Security)

AirPlay

Целевые продукты: macOS Sequoia

Воздействие. Злоумышленник, находящийся в локальной сети, может повредить память процессов.

Описание. Проблема смешения типов устранена путем улучшенных проверок.

CVE-2025-24137: Uri Katz (Oligo Security)

AppKit

Целевые продукты: macOS Sequoia

Воздействие. Приложение может получить доступ к защищенным пользовательским данным.

Описание. Проблема устранена путем ввода дополнительных проверок разрешений.

CVE-2025-24087: Mickey Jin (@patch1t)

AppleGraphicsControl

Целевые продукты: macOS Sequoia

Воздействие. Анализ файла может приводить к неожиданному завершению работы приложения.

Описание. Проблема устранена путем улучшенной проверки.

CVE-2025-24112: D4m0n

AppleMobileFileIntegrity

Целевые продукты: macOS Sequoia

Воздействие. Приложение может получить доступ к информации о контактах пользователя.

Описание. Проблема с логикой устранена путем улучшения ограничений.

CVE-2025-24100: Kirin (@Pwnrin)

AppleMobileFileIntegrity

Целевые продукты: macOS Sequoia

Воздействие. Приложение может получить доступ к конфиденциальным данным пользователя.

Описание. Проблема с переходом на более раннюю версию устранена c помощью дополнительных ограничений на подпись кода.

CVE-2025-24109: Bohdan Stasiuk (@Bohdan_Stasiuk)

AppleMobileFileIntegrity

Целевые продукты: macOS Sequoia

Воздействие. Приложение может изменять защищенные области файловой системы.

Описание. Проблема с правами доступа устранена путем добавления дополнительных ограничений.

CVE-2025-24114: Mickey Jin (@patch1t)

AppleMobileFileIntegrity

Целевые продукты: macOS Sequoia

Воздействие. Приложение может изменять защищенные области файловой системы.

Описание. Проблема с логикой устранена путем улучшения проверок.

CVE-2025-24121: Mickey Jin (@patch1t)

AppleMobileFileIntegrity

Целевые продукты: macOS Sequoia

Воздействие. Приложение может изменять защищенные области файловой системы.

Описание. Проблема с переходом на более раннюю версию, затрагивающая компьютеры Mac на базе Intel, была устранена с помощью дополнительных ограничений на подпись кода.

CVE-2025-24122: Mickey Jin (@patch1t)

ARKit

Целевые продукты: macOS Sequoia

Воздействие. Анализ файла может приводить к неожиданному завершению работы приложения.

Описание. Проблема устранена путем улучшенной проверки.

CVE-2025-24127: Minghao Lin (@Y1nKoc), babywu и Xingwei Lin из Чжэцзянского университета

Audio

Целевые продукты: macOS Sequoia

Воздействие. Приложение может вызвать неожиданное завершение работы системы.

Описание. Проблема устранена путем ввода дополнительных проверок прав.

CVE-2025-24106: Wang Yu из CyberServal

CoreAudio

Целевые продукты: macOS Sequoia

Воздействие. Анализ файла может приводить к неожиданному завершению работы приложения.

Описание. Проблема устранена путем улучшенной проверки.

CVE-2025-24160: подразделение Threat Analysis Group компании Google

CVE-2025-24161: подразделение Threat Analysis Group компании Google

CVE-2025-24163: подразделение Threat Analysis Group компании Google

CoreMedia

Целевые продукты: macOS Sequoia

Воздействие. Анализ файла может приводить к неожиданному завершению работы приложения.

Описание. Проблема устранена путем улучшенной проверки.

CVE-2025-24123: Desmond в сотрудничестве с Trend Micro в рамках программы Zero Day Initiative

CVE-2025-24124: Pwn2car и Rotiple (HyeongSeok Jang) в сотрудничестве с Trend Micro в рамках программы Zero Day Initiative

CoreMedia

Целевые продукты: macOS Sequoia

Воздействие. Вредоносное приложение может повысить уровень привилегий. Apple известно о том, что эта проблема могла активно использоваться в версиях iOS, выпущенных до iOS 17.2.

Описание. Проблема с использованием данных после освобождения памяти устранена путем улучшенного управления памятью.

CVE-2025-24085

CoreMedia Playback

Целевые продукты: macOS Sequoia

Воздействие. Приложение может вызвать неожиданное завершение работы системы.

Описание. Проблема устранена путем улучшения обработки обращений к памяти.

CVE-2025-24184: Song Hyun Bae (@bshyuunn) и Lee Dong Ha (Who4mI)

CoreRoutine

Целевые продукты: macOS Sequoia

Воздействие. Приложение может определить текущее местоположение пользователя.

Описание. Проблема устранена путем улучшенной проверки.

CVE-2025-24102: Kirin (@Pwnrin)

Display

Целевые продукты: macOS Sequoia

Воздействие. Приложение может вызвать неожиданное завершение работы системы.

Описание. Проблема с повреждением данных в памяти устранена путем улучшения управления состояниями.

CVE-2025-24111: Wang Yu из CyberServal

FaceTime

Целевые продукты: macOS Sequoia

Воздействие. Приложение может получить доступ к конфиденциальным пользовательским данным.

Описание. Проблема утечки информации устранена путем улучшения контроля конфиденциальности.

CVE-2025-24134: Kirin (@Pwnrin)

iCloud

Целевые продукты: macOS Sequoia

Воздействие. К файлам, загруженным из сети Интернет, может не применяться флаг карантина.

Описание. Эта проблема устранена путем улучшенного управления состояниями.

CVE-2025-24140: Matej Moravec (@MacejkoMoravec)

iCloud Photo Library

Целевые продукты: macOS Sequoia

Воздействие. Приложение может обойти настройки конфиденциальности.

Описание. Проблема устранена путем улучшенной проверки.

CVE-2025-24174: Arsenii Kostromin (0x3c3e), Joshua Jones

ImageIO

Целевые продукты: macOS Sequoia

Воздействие. Обработка изображения может приводить к отказу в обслуживании.

Описание. Проблема устранена путем улучшения обработки обращений к памяти.

CVE-2025-24086: DongJun Kim (@smlijun) и JongSeong Kim (@nevul37) из Enki WhiteHat, D4m0n

Kernel

Целевые продукты: macOS Sequoia

Воздействие. Приложение может вызывать утечку конфиденциальных данных о состоянии ядра.

Описание. Проблема утечки информации решена посредством удаления уязвимого кода.

CVE-2025-24144: Mateusz Krzywicki (@krzywix)

Kernel

Целевые продукты: macOS Sequoia

Воздействие. Приложение может вызывать неожиданное завершение работы системы или записывать данные в память ядра.

Описание. Проблема устранена путем улучшения обработки обращений к памяти.

CVE-2025-24118: Joseph Ravichandran (@0xjprx) из MIT CSAIL

Kernel

Целевые продукты: macOS Sequoia

Воздействие. Вредоносное приложение может получать привилегии пользователя root.

Описание. Проблема с правами доступа устранена путем добавления дополнительных ограничений.

CVE-2025-24107: анонимный исследователь

Kernel

Целевые продукты: macOS Sequoia

Воздействие. Приложение может выполнять произвольный код с привилегиями ядра.

Описание. Проблема с проверкой устранена путем улучшения логики.

CVE-2025-24159: pattern-f (@pattern_F_)

LaunchServices

Целевые продукты: macOS Sequoia

Воздействие. Приложение может выполнять произвольный код за границами своей изолированной среды или с определенными привилегиями более высокого уровня.

Описание. Эта проблема устранена путем улучшенного управления состояниями.

CVE-2025-24119: анонимный исследователь

LaunchServices

Целевые продукты: macOS Sequoia

Воздействие. Приложение может получить доступ к конфиденциальным пользовательским данным.

Описание. Проблема с возникновением условия состязания устранена путем дополнительной проверки.

CVE-2025-24094: анонимный исследователь

LaunchServices

Целевые продукты: macOS Sequoia

Воздействие. Приложение может считывать файлы за границами песочницы.

Описание. Проблема с обработкой пути устранена путем улучшенной проверки.

CVE-2025-24115: анонимный исследователь

LaunchServices

Целевые продукты: macOS Sequoia

Воздействие. Приложение может обойти настройки конфиденциальности.

Описание. Проблема доступа устранена путем ввода дополнительных ограничений изолированной среды.

CVE-2025-24116: анонимный исследователь

LaunchServices

Целевые продукты: macOS Sequoia

Воздействие. Приложение может снимать отпечатки пальцев пользователя.

Описание. Проблема устранена путем улучшенного редактирования конфиденциальной информации.

CVE-2025-24117: Michael (Biscuit) Thomas (@biscuit@social.lol)

libxslt

Целевые продукты: macOS Sequoia

Воздействие. Обработка вредоносного веб-содержимого может приводить к неожиданному сбою процесса.

Описание. Это уязвимость в открытом исходном коде, и программное обеспечение Apple является одним из затронутых проектов. Идентификатор CVE назначен сторонней организацией. Дополнительная информация о проблеме и идентификаторе CVE-ID приведена на сайте cve.org.

CVE-2024-55549: Ivan Fratric из Google Project Zero

CVE-2025-24855: Ivan Fratric из Google Project Zero

Login Window

Целевые продукты: macOS Sequoia

Воздействие. Вредоносное приложение может создавать символьные ссылки на защищенные области диска.

Описание. Проблема устранена путем улучшенной проверки символьных ссылок.

CVE-2025-24136: 风(binary_fmyy) и Minghao Lin@(Y1nKoc)

Messages

Целевые продукты: macOS Sequoia

Воздействие. Приложение может получить доступ к конфиденциальным пользовательским данным.

Описание. Проблема устранена путем улучшенного редактирования конфиденциальной информации.

CVE-2025-24101: Kirin (@Pwnrin)

NSDocument

Целевые продукты: macOS Sequoia

Воздействие. Вредоносное приложение может получать доступ к произвольным файлам.

Описание. Эта проблема устранена путем улучшенного управления состояниями.

CVE-2025-24096: анонимный исследователь

PackageKit

Целевые продукты: macOS Sequoia

Воздействие. Приложение может изменять защищенные области файловой системы.

Описание. Проблема с правами доступа устранена путем добавления дополнительных ограничений.

CVE-2025-31262: Mickey Jin (@patch1t)

PackageKit

Целевые продукты: macOS Sequoia

Воздействие. Локальный злоумышленник может повысить свои привилегии

Описание. Проблема устранена путем улучшенной проверки.

CVE-2025-24099: Mickey Jin (@patch1t)

PackageKit

Целевые продукты: macOS Sequoia

Воздействие. Приложение может изменять защищенные области файловой системы.

Описание. Проблема устранена путем улучшенной проверки.

CVE-2025-24130: Pedro Tôrres (@t0rr3sp3dr0)

Passwords

Целевые продукты: macOS Sequoia

Воздействие. Вредоносное приложение может обходить аутентификацию расширения для браузера.

Описание. Проблема с ведением журнала устранена путем улучшения скрытия данных.

CVE-2025-24169: Josh Parnham (@joshparnham)

Perl

Целевые продукты: macOS Sequoia

Воздействие. Локальный пользователь может изменять защищенные участки файловой системы.

Описание. Проблема устранена путем улучшенной проверки.

CVE-2025-24183: Arsenii Kostromin (0x3c3e)

Photos Storage

Целевые продукты: macOS Sequoia

Воздействие. Удаление разговора в приложении «Сообщения» может поставить под угрозу контактные данные пользователя в системном журнале.

Описание. Проблема устранена путем улучшенного редактирования конфиденциальной информации.

CVE-2025-24146: 神罚 (@Pwnrin)

Safari

Целевые продукты: macOS Sequoia

Воздействие. Посещение вредоносного веб-сайта может приводить к подмене адресной строки.

Описание. Проблема устранена путем добавления дополнительной логики.

CVE-2025-24128: @RenwaX23

Safari

Целевые продукты: macOS Sequoia

Воздействие. Посещение вредоносного веб-сайта может привести к подмене пользовательского интерфейса.

Описание. Проблема устранена путем улучшения пользовательского интерфейса.

CVE-2025-24113: @RenwaX23

SceneKit

Целевые продукты: macOS Sequoia

Воздействие. Анализ файла может приводить к раскрытию данных пользователя.

Описание. Проблема чтения за границами выделенной области памяти устранена путем улучшенной проверки границ.

CVE-2025-24149: Michael DePlante (@izobashi) в сотрудничестве с Trend Micro в рамках программы Zero Day Initiative

Security

Целевые продукты: macOS Sequoia

Воздействие. Приложение может получить доступ к защищенным пользовательским данным.

Описание. Проблема устранена путем улучшенной проверки символьных ссылок.

CVE-2025-24103: Zhongquan Li (@Guluisacat)

SharedFileList

Целевые продукты: macOS Sequoia

Воздействие. Приложение может получить доступ к защищенным пользовательским данным.

Описание. Проблема доступа устранена путем ввода дополнительных ограничений изолированной среды.

CVE-2025-24108: анонимный исследователь

sips

Целевые продукты: macOS Sequoia

Воздействие. Анализ вредоносного файла может приводить к неожиданному завершению работы приложения.

Описание. Проблема записи за границами выделенной области памяти устранена путем улучшенной проверки ввода.

CVE-2025-24185: Hossein Lotfi (@hosselot) в сотрудничестве с Trend Micro в рамках программы Zero Day Initiative

sips

Целевые продукты: macOS Sequoia

Воздействие. Анализ вредоносного файла может приводить к неожиданному завершению работы приложения.

Описание. Проблема устранена путем улучшенной проверки.

CVE-2025-24139: Hossein Lotfi (@hosselot) в сотрудничестве с Trend Micro в рамках программы Zero Day Initiative и Junsung Lee

SMB

Целевые продукты: macOS Sequoia

Воздействие. Приложение может вызывать неожиданное завершение работы системы или повреждать память ядра.

Описание. Проблема устранена путем улучшения обработки обращений к памяти.

CVE-2025-24151: анонимный исследователь

CVE-2025-24152: анонимный исследователь

SMB

Целевые продукты: macOS Sequoia

Воздействие. Приложение с привилегиями пользователя root может выполнять произвольный код с привилегиями ядра.

Описание. Проблема переполнения буфера устранена путем улучшенной обработки памяти.

CVE-2025-24153: анонимный исследователь

Spotlight

Целевые продукты: macOS Sequoia

Воздействие. Вредоносное приложение может вызвать утечку конфиденциальных данных пользователя.

Описание. Эта проблема устранена путем улучшенного управления состояниями.

CVE-2025-24138: Rodolphe BRUNETTI (@eisw0lf) из Lupus Nova

StorageKit

Целевые продукты: macOS Sequoia

Воздействие. Вредоносное приложение может получать привилегии пользователя root.

Описание. Проблема с правами доступа устранена путем добавления дополнительных ограничений.

CVE-2025-24107: анонимный исследователь

StorageKit

Целевые продукты: macOS Sequoia

Воздействие. Локальный злоумышленник может повысить свои привилегии

Описание. Проблема с правами доступа устранена путем улучшения проверки.

CVE-2025-24176: Yann GASCUEL из Alter Solutions

System Extensions

Целевые продукты: macOS Sequoia

Воздействие. Приложение может получить повышенные привилегии.

Описание. Проблема устранена путем улучшения проверки сообщений.

CVE-2025-24135: Arsenii Kostromin (0x3c3e)

Time Zone

Целевые продукты: macOS Sequoia

Воздействие. Приложение может получить доступ к номеру телефона контакта в системных журналах.

Описание. Проблема конфиденциальности была решена путем улучшения редактирования личных данных для записей журнала.

CVE-2025-24145: Kirin (@Pwnrin)

TV App

Целевые продукты: macOS Sequoia

Воздействие. Приложение может получать доступ к конфиденциальным данным о геопозиции.

Описание. Проблема устранена путем улучшения защиты данных.

CVE-2025-24092: Adam M.

WebContentFilter

Целевые продукты: macOS Sequoia

Воздействие. Приложение может раскрывать данные из памяти ядра.

Описание. Проблема устранена путем улучшения обработки обращений к памяти.

CVE-2025-24155: анонимный исследователь

WebContentFilter

Целевые продукты: macOS Sequoia

Воздействие. Злоумышленник может вызывать неожиданное завершение работы системы или повреждать память ядра.

Описание. Проблема записи за границами выделенной области памяти устранена путем улучшенной проверки ввода.

CVE-2025-24154: анонимный исследователь

WebKit

Целевые продукты: macOS Sequoia

Воздействие. Обработка вредоносного веб-содержимого может приводить к повреждению памяти.

Описание. Проблема устранена путем улучшенной проверки.

CVE-2025-24189: анонимный исследователь

WebKit

Целевые продукты: macOS Sequoia

Воздействие. Вредоносная веб-страница может создавать уникальный образ пользователя.

Описание. Проблема устранена путем улучшения ограничений доступа к файловой системе.

CVE-2025-24143: анонимный исследователь

WebKit

Целевые продукты: macOS Sequoia

Воздействие. Обработка веб-контента может приводить к отказу в обслуживании.

Описание. Проблема устранена путем улучшения обработки обращений к памяти.

CVE-2025-24158: Q1IQ (@q1iqF) из NUS CuriOSity и P1umer (@p1umer) из Imperial Global (Сингапур)

WebKit

Целевые продукты: macOS Sequoia

Воздействие. Обработка вредоносного веб-содержимого может приводить к неожиданному сбою процесса.

Описание. Эта проблема устранена путем улучшенного управления состояниями.

CVE-2025-24162: linjy из HKUS3Lab и chluo of WHUSecLab

WebKit Web Inspector

Целевые продукты: macOS Sequoia

Воздействие. Копирование URL-адреса из веб-инспектора может приводить к вставке исполняемой команды.

Описание. Проблема конфиденциальности устранена путем улучшенной обработки файлов.

CVE-2025-24150: Johan Carlsson (joaxcar)

WindowServer

Целевые продукты: macOS Sequoia

Воздействие. Злоумышленник может вызвать неожиданное завершение работы приложения.

Описание. Проблема устранена путем улучшенного управления временем существования объектов.

CVE-2025-24120: PixiePoint Security

Xsan

Целевые продукты: macOS Sequoia

Воздействие. Приложение может повышать уровень привилегий.

Описание. Проблема целочисленного переполнения устранена путем улучшенной проверки ввода.

CVE-2025-24156: анонимный исследователь

Дополнительные благодарности

AirPlay

Выражаем благодарность за помощь Uri Katz (Oligo Security).

Audio

Выражаем благодарность за помощь подразделению Threat Analysis Group компании Google.

CoreAudio

Выражаем благодарность за помощь подразделению Threat Analysis Group компании Google.

DesktopServices

Выражаем благодарность за помощь анонимному исследователю.

Files

Выражаем благодарность за помощь Chi Yuan Chang из ZUSO ART и пользователю taikosoup.

iCloud

Выражаем благодарность за помощь Abhay Kailasia (@abhay_kailasia) из Технологического колледжа Лакшми Нараина (Бхопал, Индия), George Kovaios и Srijan Poudel.

Passwords

Выражаем благодарность за помощь Talal Haj Bakry и Tommy Mysk из Mysk Inc. (@mysk_co).

Static Linker

Выражаем благодарность за помощь Holger Fuhrmannek.

VoiceOver

Выражаем благодарность за помощь Bistrit Dahal и Dalibor Milanovic.