Apple beschermt ook oudere iPhones en iPads tegen actief misbruikte lekken
Apple heeft besloten om ook oudere iPhones en iPads tegen actief misbruikte lekken te beschermen die volgens het techbedrijf bij 'zeer geraffineerde aanvallen' zijn ingezet. Het gaat om de iPhone 6s, iPhone 7, iPhone SE (1e generatie), iPad Air 2 en iPad mini (4e generatie) en iPod touch (7e generatie). Apple kwam vorig jaar juli, in de vorm van iOS en iPadOS 15.8.3, voor het laatst met beveiligingsupdates voor deze apparaten.
Het techbedrijf heeft nu iOS en iPadOS 15.8.4 uitgebracht. Deze versies verhelpen twee kwetsbaarheden aangeduid als CVE-2025-24200 en CVE-2025-24201. Beveiligingslek CVE-2025-24200 bevindt zich in het Accessibility-onderdeel van de besturingssystemen. Via de kwetsbaarheid kan een aanvaller met fysieke toegang de 'USB Restricted Mode' op een vergrendeld toestel uitschakelen.
De USB Restricted Mode zorgt ervoor dat het besturingssysteem bijhoudt wanneer het toestel voor de laatste keer is ontgrendeld of op een computer of andere accessoire is aangesloten. Wanneer er een uur sinds één van deze gebeurtenissen is verstreken wordt de Lightning-poort uitgeschakeld. Op dat moment is de poort alleen nog te gebruiken voor het opladen van het toestel. Dit maakt het bijvoorbeeld lastiger om forensische tooling te gebruiken. Apple kwam voor dit lek al begin februari met updates voor andere iPads en iPhones.
Kwetsbaarheid CVE-2025-24201 maakt het mogelijk voor 'malafide webcontent' om uit de webcontent-sandbox van WebKit te breken. Ook bij dit beveiligingslek liet Apple weten dat het bij zeer geraffineerde aanvallen werd gebruikt. Verdere details werden niet gegeven. Dit beveiligingslek werd door Apple zelf ontdekt. Op 11 maart verschenen updates voor recente iPhones en iPads. Aangezien het hier om actief misbruikte kwetsbaarheden gaat worden eigenaren van de genoemde toestellen aangeraden om naar iOS en iPadOS 15.8.4 te updaten.
De laatste beveiligingsupdate voor 15.x was inderdaad van juli vorig jaar, maar dat ging om een soortgelijke update. De laatste complete beveiligingsupdate voor 15.x stamt al uit september 2023. (Voor 16.x was de laatste complete beveiligingsupdate uitgekomen in juli 2024, dus die loopt ondertussen ook al behoorlijk achter.)
Overigens wel grappig dat Apple lekken dicht die in zeer geraffineerde aanvallen zijn gebruikt, maar dat juist zeer geraffineerde aanvallen makkelijk gebruik kunnen maken van alle andere ongepatchde lekken. Dus als mogelijk doelwit zou je nooit een niet meer ondersteund apparaat moeten willen gebruiken.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Chief Information Security Officer
Word Chief Information Security Officer bij Provincie Utrecht! Jij zet informatieveiligheid op de kaart, adviseert over risico’s en borgt compliance. Werk aan ‘Security by Design’ en til de digitale veiligheid naar een hoger niveau. Klaar om impact te maken? Solliciteer nu!
Cybersecurity Trainer / Full Stack Developer
bij Certified Secure
Ben je toe aan een nieuwe nieuwe job waarmee je het verschil maakt? Wil jij je security kennis graag delen en hands-on laten zien hoe cybersecurity in de praktijk echt werkt? Werk je net als wij graag samen met enthousiaste en gedreven collega's? Bij ons geen bureaucratie maar open communicatie en een werkomgeving gericht op samenwerking.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
