CVE-2025-31229

VoiceOver odczytuje kod PIN na głos w iOS i iPadOS

CVSS 9.1v3.1pub. 2025-07-30upd. 2025-11-03

Błąd logiczny w iOS i iPadOS powoduje, że funkcja dostępności VoiceOver może odczytać kod blokady ekranu (passcode) na głos. Stanowi to poważne zagrożenie dla poufności danych użytkownika, ponieważ kod PIN może zostać przechwycony przez osoby w pobliżu.

▸ Pokaż oryginał (EN)

A logic issue was addressed with improved checks. This issue is fixed in iOS 18.6 and iPadOS 18.6. Passcode may be read aloud by VoiceOver.

🤖 Analiza AI

Jak działa

W systemach iOS i iPadOS przed wersją 18.6 wykryto błąd logiczny (CWE-261) polegający na nieprawidłowym przechowywaniu lub obsłudze kodu blokady ekranu. Funkcja dostępności VoiceOver, przeznaczona do wspomagania osób niedowidzących, mogła w określonych warunkach odczytać passcode na głos. Apple wskazuje, że problem został naprawiony poprzez wprowadzenie ulepszonych mechanizmów weryfikacji.

Skutki

Atakujący lub osoba znajdująca się w pobliżu urządzenia może usłyszeć kod blokady ekranu odczytany przez VoiceOver, co umożliwia nieuprawniony dostęp do urządzenia i przechowywanych na nim danych.

Mitygacja

Należy zaktualizować urządzenia do iOS 18.6 i iPadOS 18.6, w których Apple wdrożyło poprawkę eliminującą ten problem. Szczegółowe informacje dostępne są na stronie wsparcia Apple: https://support.apple.com/en-us/124147

Kogo dotyczy

Apple iOS przed wersją 18.6 oraz Apple iPadOS przed wersją 18.6

Uwagi

Podatność sklasyfikowana jako CWE-261 (Weak Encoding for Password), wektor sieciowy AV:N z CVSS 9.1, jednak natura błędu wskazuje na fizyczną bliskość jako praktyczny wymóg eksploatacji — napastnik musi znajdować się w zasięgu słuchu urządzenia.