CVE-2025-43526

Obejście ograniczeń Lockdown Mode w Apple Safari i macOS przez file URL

CVSS 9.8v3.1pub. 2025-12-17upd. 2026-04-02

Podatność w Apple Safari i macOS pozwala zawartości web otwieranej poprzez file URL na korzystanie z Web APIs, które powinny być zablokowane w trybie Lockdown Mode. Jest to szczególnie groźne, ponieważ Lockdown Mode zaprojektowano z myślą o ochronie użytkowników narażonych na zaawansowane ataki.

▸ Pokaż oryginał (EN)

This issue was addressed with improved URL validation. This issue is fixed in Safari 26.2, macOS Tahoe 26.2. On a Mac with Lockdown Mode enabled, web content opened via a file URL may be able to use Web APIs that should be restricted.

🤖 Analiza AI

Jak działa

Problem wynika z niewystarczającej walidacji adresów URL. Gdy na komputerze Mac z włączonym Lockdown Mode otwierana jest zawartość web za pośrednictwem file URL (schemat file://), mechanizmy ograniczające dostęp do określonych Web APIs nie są prawidłowo egzekwowane. Atakujący może w ten sposób uzyskać dostęp do funkcji przeglądarki, które powinny być niedostępne w tym chronionym trybie pracy systemu.

Skutki

Atakujący może uzyskać dostęp do zastrzeżonych Web APIs w kontekście Lockdown Mode, co potencjalnie prowadzi do naruszenia poufności, integralności oraz dostępności danych — co odzwierciedla maksymalny wynik CVSS 9.8 (C:H/I:H/A:H).

Mitygacja

Należy zaktualizować system do Safari 26.2 oraz macOS Tahoe 26.2, w których problem został rozwiązany poprzez poprawioną walidację URL. Szczegóły dostępne pod adresami: https://support.apple.com/en-us/125886 oraz https://support.apple.com/en-us/125892.

Kogo dotyczy

Apple Safari w wersji przed 26.2 oraz macOS Tahoe w wersji przed 26.2, na urządzeniach Mac z włączonym Lockdown Mode.

Uwagi

Podatność dotyczy wyłącznie urządzeń Mac z aktywnie włączonym trybem Lockdown Mode — funkcją przeznaczoną dla użytkowników szczególnie narażonych na zaawansowane ataki (np. dziennikarzy, działaczy). Wektor CVSS AV:N sugeruje możliwość zdalnego wykorzystania, jednak faktyczny wpływ wymaga określonego kontekstu konfiguracyjnego (Lockdown Mode + file URL).