Всегда приятно видеть, что компании остаются на вершине нулевого дня — вы не можете им помочь, но вы хотите минимизировать количество пользователей, которые могут быть затронуты этим. Теперь Apple только что исправила уязвимость нулевого дня в WebKit, и это на самом деле довольно интересная уязвимость.
Apple только что исправила уязвимость безопасности, которая эксплуатировалась в дикой природе. Уязвимость, отслеживаемая как CVE-2025-24201, исходит из браузерного движка WebKit, основного браузерного движка, который используется в Safari. По словам Apple, «это дополнительное исправление для атаки, которая была заблокирована в iOS 17.2», и она добавила, что компании «известно об отчете о том, что эта проблема могла быть использована в чрезвычайно сложной атаке против конкретных целевых лиц в версиях iOS до iOS 17.2».
Сама уязвимость представляет собой проблему записи за пределами границ, которая позволяет злоумышленникам создавать вредоносный веб-контент, который может вырваться из песочницы веб-контента. Выйдя за пределы веб-браузера, злоумышленники потенциально могут выполнить произвольный код и получить контроль над затронутыми устройствами. Сама проблема была просто открытой дверью для целевых атак, а не для широкомасштабной эксплуатации, и не похоже, что она широко эксплуатировалась. Тем не менее, если вы стали целью злоумышленника с этой уязвимостью, последствия могут быть катастрофическими.
Проблема затронула следующие устройства:
- iPhone XS и более поздние модели
- iPad Pro 13-inch
- iPad Pro 12.9 дюйма 3-го поколения и новее
- iPad Pro 11 дюймов 1-го поколения и новее
- iPad Air 3-го поколения и новее
- iPad 7-го поколения и позже
- iPad mini 5-го поколения и новее
- Компьютеры Mac под управлением macOS Sequoia
- Apple Видение Про
Apple заявила, что решила проблему с помощью улучшенных проверок в последних обновлениях программного обеспечения, включая iOS 18.3.2, iPadOS 18.3.2, macOS Sequoia 15.3.2, visionOS 2.3.2 и Safari 18.3.1. Если у вас есть затронутое устройство, было бы правильным шагом пойти и загрузить обновление, как только у вас появится возможность. Вы, вероятно, не являетесь целью тех, кто хотел бы воспользоваться этим, но тем не менее, хорошей практикой является оставаться в курсе обновлений безопасности.
На самом деле это третья уязвимость нулевого дня, которую Apple исправила с начала 2025 года. Ранее в этом году Apple обратила внимание на CVE-2025-24085 в январе и CVE-2025-24200 в феврале. Приятно видеть, что компания остается на вершине этих типов уязвимостей нулевого дня — хотя эта конкретная проблема может быть использована только с помощью «сложных» целевых атак, были случаи уязвимостей, которые гораздо проще использовать, и поэтому они представляют опасность для обычных людей.
Нулевые дни, по определению, являются уязвимостями, которые неизвестны поставщику программного обеспечения, то есть, когда уязвимость впервые обнаружена или эксплуатируется, нет доступного исправления. Как мы уже говорили ранее, компании, вероятно, не могут им помочь, даже если они пытаются оставаться в курсе проблем безопасности и выделяют огромные ресурсы на поиск уязвимостей самостоятельно. Поэтому правильным шагом здесь будет придумать исправление, которое будет развернуто как можно быстрее, чтобы минимизировать количество пользователей, которые действительно затронуты.
Исправленное программное обеспечение должно быть выпущено уже сейчас, поэтому не забудьте нажать кнопку обновления как можно скорее.
Источник: Bleeping Computer, TechCrunch
