Apple zakrpa zero-day ranjivost CVE-2025-43300 u ImageIO frameworku

1. Sažetak

Apple je objavio hitne zakrpe za zero-day ranjivost CVE-2025-43300 u ImageIO frameworku, koja se aktivno iskorištava u ciljanim napadima. Ova ranjivost omogućuje izvršavanje proizvoljnog koda putem posebno oblikovanih slikovnih datoteka, a pogađa širok spektar iPhone, iPad i Mac uređaja. Zakrpe su dostupne kroz iOS 18.6.2, iPadOS 18.6.2 i 17.7.10 te macOS Sequoia 15.6.1, Sonoma 14.7.8 i Ventura 13.7.8.

2. Detalji

Ranjivost CVE-2025-43300 nalazi se u Apple-ovom ImageIO frameworku koji obrađuje različite slikovne formate. Slanjem posebno oblikovane slikovne datoteke napadač može izazvati korupciju memorije koja rezultira padom aplikacije ili, u ozbiljnijem scenariju, omogućuje udaljeno izvršavanje proizvoljnog koda na pogođenom uređaju.

Apple je potvrdio da je ranjivost već iskorištavana u sofisticiranim napadima usmjerenim na određene korisnike, što upućuje na povezanost s naprednim prijetnjama poput špijunskog softvera ili napada koje podupiru državni akteri.

Pogođeni su brojni uređaji, uključujući iPhone XS i novije modele, iPad Pro, iPad Air, iPad mini te Mac uređaje koji koriste ranjive verzije macOS-a. Ova zakrpa dio je kontinuiranog Apple-ovog procesa hitnog otklanjanja zero-day ranjivosti, što ukazuje na rastući trend sofisticiranih napada na korisnike Apple ekosustava. Kao zaštitnu mjeru, Apple je implementirao pojačano provjeravanje granica u ImageIO kako bi spriječio buduće zloupotrebe.

3. Preporuke

Za zaštitu od ove vrste napada preporučuje se:

• Odmah ažurirati sve Apple uređaje na:
  • iOS / iPadOS: 18.6.2 ili 17.7.10
  • macOS: Sequoia 15.6.1, Sonoma 14.7.8 ili Ventura 13.7.8
• Omogućiti automatsko ažuriranje OS-a i aplikacija kad god je moguće
• Edukativno informirati korisnike da izbjegavaju otvaranje slika iz nepouzdanih izvora
• Implementirati dodatnu zaštitu kroz Mobile Device Management (MDM) politike koje sprječavaju otvaranje neprovjerenih privitaka

4. Reference

• SecurityWeek
• BleepingComputer
• Tenable CVE-2025-43300