CVE-2025-24201: naujausias Apple WebKit pažeidžiamumas

„Apple“ neseniai išleido itin svarbų saugos naujinimą, kad pašalintų naujai nustatytą nulinės dienos pažeidžiamumą CVE-2025-24201. Pranešama, kad ši klaida, įterpta į WebKit naršyklės variklį, buvo panaudota atliekant labai sudėtingas kibernetines atakas. Atnaujinimas yra aktyvi priemonė, kuria siekiama užkirsti kelią tolesniam išnaudojimui, sustiprinant Apple įsipareigojimą užtikrinti vartotojų saugumą. Štai ką reikia žinoti apie šį pažeidžiamumą, jo pasekmes ir būtinus veiksmus, kad apsaugotumėte.

Kas yra CVE-2025-24201?

CVE-2025-24201 yra priskiriama neribotam rašymo problemai WebKit variklyje, kuris yra Apple Safari naršyklės ir kitų žiniatinklio funkcijų pagrindas visoje jos ekosistemoje. Šio tipo pažeidžiamumas atsiranda, kai programa įrašo duomenis už skirtos atminties ribų, todėl užpuolikas gali manipuliuoti vykdymo srautu ir gauti neteisėtą prieigą prie jautrių duomenų.

Tokiu atveju užpuolikas gali sukurti kenkėjišką žiniatinklio turinį, kurį aplankęs nieko neįtariantis vartotojas gali išeiti iš žiniatinklio turinio smėlio dėžės. Tai reiškia, kad užuot apsiribojęs naršyklės aplinkoje, išnaudojimas gali padidinti privilegijas ir pakenkti visai sistemai, sukeldamas didelį pavojų vartotojo duomenims ir įrenginio vientisumui.

Kas yra paveiktas?

Pažeidžiamumas turi įtakos daugeliui „Apple“ įrenginių, įskaitant:

• „iPhone“ („iPhone XS“ ir naujesnės versijos)
• „iPad“ (13 colių „iPad Pro“, 3 kartos+ 12,9 colio „iPad Pro“, 1-os kartos ir naujesnės versijos „iPad Pro“ 11 colių, 3 kartos ir naujesnės versijos „iPad Air“, 7-osios kartos+ ir iPad mini 5-osios kartos+)
• „Mac“ kompiuteriai , kuriuose veikia „macOS Sequoia 15.3.2“.
• „Safari 18.3.1“ „macOS Ventura“ ir „macOS Sonoma“.
• Apple Vision Pro, kuriame veikia visionOS 2.3.2

Atsižvelgiant į didelį paveiktų įrenginių asortimentą, šis pažeidžiamumas gali paveikti milijonus vartotojų visame pasaulyje. „Apple“ išleido saugos pataisą, atnaujindama „iOS“, „MacOS“ ir „visionOS“, kad sumažintų riziką.

Kaip tai buvo išnaudota?

Nors „Apple“ neatskleidė visos informacijos apie atakų laiką ar mastą, ji pripažino, kad CVE-2025-24201 galėjo būti panaudotas itin tikslinėms atakoms prieš išleidžiant „iOS 17.2“. Bendrovė šias atakas apibūdina kaip itin sudėtingas, o tai rodo, kad jas galėjo surengti pakankamai išteklius turintys grėsmės veikėjai, nukreipti į konkrečius asmenis, o ne platų, beatodairišką ataką.

Tai atitinka ankstesnius atvejus, kai valstybės remiami veikėjai arba pažangios nuolatinės grėsmės (APT) grupės išnaudojo panašius pažeidžiamumus šnipinėjimui ar kitoms didelės svarbos kibernetinėms operacijoms. Tačiau be papildomos informacijos, tikslus šių išpuolių pobūdis lieka spėlioti.

„Apple“ atsakas ir pataisymas

„Apple“ išsprendė problemą patobulindama „WebKit“ saugos patikras, kad būtų išvengta neteisėtos atminties prieigos. Naujausia pataisa papildo ankstesnius pataisymus ir siekia visiškai uždaryti spragą, kuria pasinaudojo užpuolikai.

Šis naujinimas atitinka nuolatines „Apple“ pastangas sustiprinti saugumą. Anksčiau šiais metais jis pataisė du kitus nulinės dienos pažeidžiamumus – CVE-2025-24085 ir CVE-2025-24200. Greitas atsakas parodo „Apple“ budrumą sprendžiant saugumo grėsmes ir mažinant tolesnių išnaudojimų riziką.

Pasekmės vartotojams

Pagrindinis susirūpinimas dėl CVE-2025-24201 yra galimybė suteikti neteisėtą prieigą prie sistemos, o tai gali sukelti:

• Duomenų vagystė: užpuolikai gali pasiekti asmeninę informaciją, įskaitant prisijungimo duomenis, finansinę informaciją ir asmeninius pranešimus.
• Įrenginio pažeidimas: išnaudojus trūkumą įsilaužėliai gali įdiegti kenkėjiškas programas arba nuolat valdyti įrenginį.
• Platesnė saugumo rizika: jei šis pažeidžiamumas būtų panaudotas platesnėje kampanijoje, jis galėtų būti atspirties taškas vykdant didesnes kibernetines operacijas, turinčias įtakos įmonėms ir vyriausybės subjektams.

Nors pranešama, kad išnaudojimas buvo naudojamas tikslinėms atakoms, visiems vartotojams rekomenduojama kuo greičiau atnaujinti savo įrenginius, kad būtų sumažinta rizika.

Veiksmai, kaip apsisaugoti

„Apple“ vartotojai turėtų imtis šių veiksmų, kad užtikrintų savo įrenginių saugumą:

1. Nedelsiant atnaujinkite: įdiekite naujausią „iOS“, „MacOS“ arba „visionOS“ naujinimą, pasiekiamą jūsų įrenginyje.
2. Įgalinti automatinius naujinimus: tai užtikrina, kad saugos pataisos būtų įdiegtos laiku, kai tik jos bus išleistos.
3. Būkite budrūs prisijungę: nespustelėkite nežinomų nuorodų ir neapsilankykite įtartinose svetainėse, nes jos gali būti sukurtos išnaudoti tokias spragas.
4. Naudokite saugos funkcijas: „Apple“ teikia integruotas apsaugos priemones, pvz., „Lockdown Mode“ didelės rizikos vartotojams, kurios gali sumažinti sudėtingų atakų bandymus.
5. Stebėkite neįprastą veiklą: jei įrenginys pradeda veikti netikėtai, pvz., dėl neaiškios priežasties išsikrauna akumuliatorius arba sunaudojama daug duomenų, gali būti verta ištirti galimą kompromisą.

Didesnis paveikslas

CVE-2025-24201 primena mums vykstančią kovą tarp saugumo tyrinėtojų ir kibernetinių nusikaltėlių. Tobulėjant technologijoms, tobulėja ir išnaudojimo metodai. Tokios įmonės kaip „Apple“ turi išlikti aktyvios, nustatydamos pažeidžiamumą ir pašalindamos jas, kad jas būtų galima plačiai išnaudoti.

Naudotojams nuolatinis informavimas ir geros kibernetinio saugumo higienos laikymasis išlieka geriausia apsauga nuo besivystančių grėsmių. Nuolat atnaujindami programinę įrangą ir laikydamiesi rekomenduojamos saugos praktikos, asmenys gali žymiai sumažinti riziką tapti sudėtingų kibernetinių atakų aukomis.

Naujausia „Apple“ pataisa yra esminis žingsnis siekiant panaikinti šią saugumo spragą, tačiau ji taip pat pabrėžia nuolatinio budrumo svarbą vis labiau skaitmeniniame pasaulyje.