Apple verhelpt kwetsbaarheid gebruikt bij aanvallen tegen iPhones
Apple heeft een kwetsbaarheid in iOS verholpen die actief is gebruikt bij het uitvoeren van aanvallen tegen iPhones. Het beveiligingslek, aangeduid als CVE-2025-24085, is echter ook aanwezig in macOS en iPadOS. De kwetsbaarheid in CoreMedia maakt het mogelijk voor een malafide applicatie om zijn rechten te verhogen. Apple geeft geen verdere details over de aanvallen, behalve dat iPhones met iOS-versies voor iOS 17.2 het doelwit waren.
Het Core Media framework van Apple wordt gebruikt voor het verwerken van media. De kwetsbaarheid wordt door Apple omschreven als een 'use after free'. Dergelijke beveiligingslekken kunnen leiden tot het uitvoeren van willekeurige code. Misbruik vereist wel dat de malafide applicatie op het systeem aanwezig is. Dit zou kunnen door een andere kwetsbaarheid te gebruiken die remote code execution mogelijk maakt of bijvoorbeeld het slachtoffer te verleiden de app te installeren.
Apple laat ook niet weten welke app of apps misbruik van het lek maakten. Gebruikers worden aangeraden om te updaten naar iOS 18.3, iPadOS 18.3 of macOS Sequoia 15.3. Voor iOS 17 is geen beveiligingsupdate verschenen. Voor andere macOS-versies wel, maar daar is de kwetsbaarheid volgens Apple niet in aanwezig.
Hou je spullen gewoon netjes up-to-date, vooral met mobiele devices is dat toch een kleine moeite lijkt mij.
~FF
https://www.wired.com/story/how-to-turn-off-apple-intelligence/
Dat staat in de EU toch niet aan.
Meer opvallend dat het tegen 17.2 getarget was en pas in 18.3 is opgelost (ipv 17.3 of zelfs https://support.apple.com/en-us/122067 17.7.4).
https://www.macrumors.com/2025/01/28/apple-web-browser-vulnerabilities/
Dat staat in de EU toch niet aan.
Meer opvallend dat het tegen 17.2 getarget was en pas in 18.3 is opgelost (ipv 17.3 of zelfs https://support.apple.com/en-us/122067 17.7.4).
Exact, laat 18.3 nou de versie zijn met standaard AI enabled, voor iedereen buiten de EU.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?