CVE-2025-43220

Nieprawidłowa walidacja symlinków w Apple iPadOS i macOS — dostęp do chronionych danych

CVSS 9.8v3.1pub. 2025-07-30upd. 2025-11-03

Podatność w Apple iPadOS oraz macOS umożliwia aplikacji nieautoryzowany dostęp do chronionych danych użytkownika poprzez nieprawidłową obsługę dowiązań symbolicznych (symlinks). Ocena CVSS 9.8 wskazuje na krytyczny poziom zagrożenia.

▸ Pokaż oryginał (EN)

This issue was addressed with improved validation of symlinks. This issue is fixed in iPadOS 17.7.9, macOS Sequoia 15.6, macOS Sonoma 14.7.7, macOS Ventura 13.7.7. An app may be able to access protected user data.

🤖 Analiza AI

Jak działa

Problem wynika z nieprawidłowej walidacji dowiązań symbolicznych (CWE-59 — Improper Link Resolution Before File Access). Złośliwa lub skompromitowana aplikacja może tworzyć lub wykorzystywać symlinki wskazujące na chronione obszary systemu plików, do których normalnie nie miałaby uprawnień dostępu. Apple rozwiązało problem poprzez wprowadzenie ulepszonej walidacji symlinków podczas rozwiązywania ścieżek plików.

Skutki

Atakujący lub złośliwa aplikacja może uzyskać nieautoryzowany dostęp do chronionych danych użytkownika, co może prowadzić do ujawnienia poufnych informacji, ich modyfikacji lub zniszczenia.

Mitygacja

Należy niezwłocznie zaktualizować systemy do wersji: iPadOS 17.7.9, macOS Sequoia 15.6, macOS Sonoma 14.7.7 lub macOS Ventura 13.7.7. Patche dostępne są za pośrednictwem mechanizmu aktualizacji systemowych Apple oraz stron wsparcia producenta wskazanych w referencjach.

Kogo dotyczy

Apple iPadOS w wersjach przed 17.7.9, macOS Sequoia w wersjach przed 15.6, macOS Sonoma w wersjach przed 14.7.7, macOS Ventura w wersjach przed 13.7.7.

Uwagi

Pomimo krytycznej oceny CVSS (9.8), wektor ataku wymaga lokalnie zainstalowanej aplikacji (AV:N w kontekście dostępu sieciowego do danych, jednak wykonanie wymaga obecności aplikacji na urządzeniu). Podatność nie figuruje w katalogu CISA KEV. Szczegółowe informacje techniczne dostępne są w serwisie Full Disclosure (seclists.org) z dnia publikacji.