Проблеми системи безпеки, які усунено в оновленні iPadOS 17.7.6
У цьому документі описано проблеми системи безпеки, які усунено в оновленні iPadOS 17.7.6.
Про оновлення системи безпеки Apple
Щоб захистити клієнтів, компанія Apple не розголошує інформацію про проблеми безпеки, не підтверджує її та не бере участь у її обговоренні, доки не завершено вивчення відповідної проблеми й не опубліковано виправлення або нові випуски. Відомості про нещодавні випуски наведено на сторінці Випуски безпеки Apple.
У документах про безпеку Apple вразливості класифікуються за кодами CVE-ID, коли це можливо.
Щоб отримати додаткову інформацію про безпеку, ознайомтеся зі сторінкою про безпеку продуктів Apple.
iPadOS 17.7.6
Дата випуску: 31 березня 2025 р.
Accounts
Доступно для: iPad Pro (12,9 дюйма, 2-го покоління), iPad Pro (10,5 дюйма) та iPad 6-го покоління
Вплив. Вразливі дані В’язки можуть бути доступні з резервної копії iOS.
Опис: цю проблему вирішено завдяки вдосконаленню обмежень доступу до даних.
CVE-2025-24221: Lehan Dilusha @zorrosign Sri Lanka і анонімний дослідник
Audio
Доступно для: iPad Pro (12,9 дюйма, 2-го покоління), iPad Pro (10,5 дюйма) та iPad 6-го покоління
Вплив: обробка шкідливого файлу могла призводити до виконання довільного коду.
Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.
CVE-2025-24243: Hossein Lotfi (@hosselot), що співпрацює з компанією Trend Micro в межах ініціативи «Zero Day Initiative»
Audio
Доступно для: iPad Pro (12,9 дюйма, 2-го покоління), iPad Pro (10,5 дюйма) та iPad 6-го покоління
Вплив: обробка шкідливого шрифту може призводити до розкриття пам’яті процесів.
Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.
CVE-2025-24244: Hossein Lotfi (@hosselot), що співпрацює з компанією Trend Micro в межах ініціативи «Zero Day Initiative»
BiometricKit
Доступно для: iPad Pro (12,9 дюйма, 2-го покоління), iPad Pro (10,5 дюйма) та iPad 6-го покоління
Вплив: програма може спричинити несподіване завершення роботи системи.
Опис: проблему переповнення буфера вирішено завдяки вдосконаленню перевірки меж.
CVE-2025-24237: Yutong Xiu
Calendar
Доступно для: iPad Pro (12,9 дюйма, 2-го покоління), iPad Pro (10,5 дюйма) та iPad 6-го покоління
Вплив: програма може виходити за межі ізольованого середовища.
Опис: проблему з обробкою шляху вирішено завдяки поліпшенню перевірки.
CVE-2025-30429: Denis Tokarev (@illusionofcha0s)
Calendar
Доступно для: iPad Pro (12,9 дюйма, 2-го покоління), iPad Pro (10,5 дюйма) та iPad 6-го покоління
Вплив: програма може виходити за межі ізольованого середовища.
Опис: цю проблему вирішено завдяки вдосконаленню перевірок.
CVE-2025-24212: Denis Tokarev (@illusionofcha0s)
CloudKit
Доступно для: iPad Pro (12,9 дюйма, 2-го покоління), iPad Pro (10,5 дюйма) та iPad 6-го покоління
Вплив: шкідлива програма може отримувати доступ до приватної інформації
Опис: проблему вирішено завдяки вдосконаленню перевірок.
CVE-2025-24215: Kirin (@Pwnrin)
CoreAudio
Доступно для: iPad Pro (12,9 дюйма, 2-го покоління), iPad Pro (10,5 дюйма) та iPad 6-го покоління
Вплив: відтворення шкідливого аудіофайлу може призвести до несподіваного завершення роботи програми.
Опис: проблему читання за межами виділеної пам’яті вирішено завдяки вдосконаленню перевірки вводу.
CVE-2025-24230: Hossein Lotfi (@hosselot), що співпрацює з компанією Trend Micro в межах ініціативи «Zero Day Initiative»
CoreMedia
Доступно для: iPad Pro (12,9 дюйма, 2-го покоління), iPad Pro (10,5 дюйма) та iPad 6-го покоління
Вплив: шкідлива програма може підвищувати рівень привілеїв. Компанії Apple відомо про те, що ця проблема могла активно використовуватися у версіях iOS, випущених до iOS 17.2.
Опис: проблему Use-After-Free вирішено завдяки вдосконаленню керування пам’яттю.
CVE-2025-24085
CoreMedia
Доступно для: iPad Pro (12,9 дюйма, 2-го покоління), iPad Pro (10,5 дюйма) та iPad 6-го покоління
Вплив: обробка шкідливого відеофайлу може призводити до неочікуваного завершення роботи програми або пошкодження пам’яті процесу.
Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.
CVE-2025-24190: Hossein Lotfi (@hosselot), що співпрацює з компанією Trend Micro в межах ініціативи «Zero Day Initiative»
CoreMedia
Доступно для: iPad Pro (12,9 дюйма, 2-го покоління), iPad Pro (10,5 дюйма) та iPad 6-го покоління
Вплив: обробка шкідливого відеофайлу може призводити до неочікуваного завершення роботи програми або пошкодження пам’яті процесу.
Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.
CVE-2025-24211: Hossein Lotfi (@hosselot), що співпрацює з компанією Trend Micro в межах ініціативи «Zero Day Initiative»
curl
Доступно для: iPad Pro (12,9 дюйма, 2-го покоління), iPad Pro (10,5 дюйма) та iPad 6-го покоління
Вплив: вирішено проблему, пов’язану з перевіркою вводу.
Опис: це вразливість у відкритому вихідному коді, яка вплинула на програмне забезпечення Apple. Ідентифікатор CVE призначила стороння організація. Докладнішу інформацію про проблему й ідентифікатор CVE-ID наведено на сайті cve.org.
CVE-2024-9681
Foundation
Доступно для: iPad Pro (12,9 дюйма, 2-го покоління), iPad Pro (10,5 дюйма) та iPad 6-го покоління
Вплив: програма може отримувати доступ до конфіденційних даних користувача.
Опис: проблему вирішено завдяки видаленню з журналів інформації, що не підлягає розголошенню.
CVE-2025-30447: LFY@secsys із Фуданського університету
ImageIO
Доступно для: iPad Pro (12,9 дюйма, 2-го покоління), iPad Pro (10,5 дюйма) та iPad 6-го покоління
Вплив: аналіз зображення може призводити до розкриття інформації про користувача.
Опис: проблему з логікою вирішено завдяки вдосконаленню обробки файлів.
CVE-2025-24210: анонімний дослідник, що співпрацює з компанією Trend Micro в межах ініціативи «Zero Day Initiative»
Kernel
Доступно для: iPad Pro (12,9 дюйма, 2-го покоління), iPad Pro (10,5 дюйма) та iPad 6-го покоління
Вплив: шкідлива програма може спробувати ввести код допуску на замкненому пристрої, що призведе до збільшення затримок після 4 невдалих спроб.
Опис: проблему з логікою вирішено завдяки вдосконаленню керування станами.
CVE-2025-30432: Michael (Biscuit) Thomas (@biscuit@social.lol)
Kernel
Доступно для: iPad Pro (12,9 дюйма, 2-го покоління), iPad Pro (10,5 дюйма) та iPad 6-го покоління
Вплив: програма може змінювати захищені частини файлової системи.
Опис: проблему вирішено завдяки вдосконаленню перевірок.
CVE-2025-24203: Ієн Бір (Ian Beer) з Google Project Zero
libxml2
Доступно для: iPad Pro (12,9 дюйма, 2-го покоління), iPad Pro (10,5 дюйма) та iPad 6-го покоління
Вплив: аналіз файлу може призводити до неочікуваного завершення роботи програми.
Опис: це вразливість у відкритому вихідному коді, яка вплинула на програмне забезпечення Apple. Ідентифікатор CVE призначила стороння організація. Докладнішу інформацію про проблему й ідентифікатор CVE-ID наведено на сайті cve.org.
CVE-2025-27113
CVE-2024-56171
libxpc
Доступно для: iPad Pro (12,9 дюйма, 2-го покоління), iPad Pro (10,5 дюйма) та iPad 6-го покоління
Вплив: програма може виходити за межі ізольованого середовища.
Опис: проблему вирішено завдяки вдосконаленню керування станами.
CVE-2025-24178: анонімний дослідник
NetworkExtension
Доступно для: iPad Pro (12,9 дюйма, 2-го покоління), iPad Pro (10,5 дюйма) та iPad 6-го покоління
Вплив: програма може перелічувати, скільки програм установив користувач.
Опис: проблему вирішено завдяки додатковим перевіркам прав.
CVE-2025-30426: Jimmy
Photos
Доступно для: iPad Pro (12,9 дюйма, 2-го покоління), iPad Pro (10,5 дюйма) та iPad 6-го покоління
Вплив: фотографії в альбомі «Приховані» можуть переглядатися без автентифікації.
Опис: проблему вирішено завдяки вдосконаленню керування станами.
CVE-2025-30428: Jax Reissner
Power Services
Доступно для: iPad Pro (12,9 дюйма, 2-го покоління), iPad Pro (10,5 дюйма) та iPad 6-го покоління
Вплив: програма може виходити за межі ізольованого середовища.
Опис: проблему вирішено завдяки додатковим перевіркам прав.
CVE-2025-24173: Mickey Jin (@patch1t)
Safari
Доступно для: iPad Pro (12,9 дюйма, 2-го покоління), iPad Pro (10,5 дюйма) та iPad 6-го покоління
Вплив: відвідування шкідливих вебсайтів може призводити до підміни інтерфейсу користувача.
Опис: проблему вирішено завдяки вдосконаленню інтерфейсу користувача.
CVE-2025-24113: @RenwaX23
Security
Доступно для: iPad Pro (12,9 дюйма, 2-го покоління), iPad Pro (10,5 дюйма) та iPad 6-го покоління
Вплив: віддалений користувач може спричинити відмову в обслуговуванні.
Опис: проблему з перевіркою вирішено завдяки поліпшенню логіки.
CVE-2025-30471: Bing Shi, Wenchao Li та Xiaolong Bai з Alibaba Group, а також Luyi Xing з Індіанського університету в Блумінгтоні
Shortcuts
Доступно для: iPad Pro (12,9 дюйма, 2-го покоління), iPad Pro (10,5 дюйма) та iPad 6-го покоління
Вплив: швидка команда може мати доступ до файлів, які зазвичай недоступні для програми «Швидкі команди».
Опис: проблему з дозволами вирішено завдяки вдосконаленню перевірки.
CVE-2025-30465: анонімний дослідник
Shortcuts
Доступно для: iPad Pro (12,9 дюйма, 2-го покоління), iPad Pro (10,5 дюйма) та iPad 6-го покоління
Вплив: швидка команда може мати доступ до файлів, які зазвичай недоступні для програми «Швидкі команди».
Опис: цю проблему вирішено завдяки вдосконаленню обмежень доступу.
CVE-2025-30433: Andrew James Gonzalez
Siri
Доступно для: iPad Pro (12,9 дюйма, 2-го покоління), iPad Pro (10,5 дюйма) та iPad 6-го покоління
Вплив: зловмисник із фізичним доступом може отримати доступ до конфіденційних даних користувача за допомогою Siri.
Опис: цю проблему усунено за допомогою обмеження варіантів, що пропонуються на замкненому пристрої.
CVE-2025-24198: Richard Hyunho Im (@richeeta) з routezero.security
Siri
Доступно для: iPad Pro (12,9 дюйма, 2-го покоління), iPad Pro (10,5 дюйма) та iPad 6-го покоління
Вплив: програма може отримувати доступ до конфіденційних даних користувача.
Опис: проблему з авторизацією вирішено завдяки вдосконаленню керування станами.
CVE-2025-24205: YingQi Shi(@Mas0nShi) із DBAppSecurity's WeBin lab і Minghao Lin (@Y1nKoc)
WebKit
Доступно для: iPad Pro (12,9 дюйма, 2-го покоління), iPad Pro (10,5 дюйма) та iPad 6-го покоління
Вплив: шкідливий вебконтент може виходити за межі ізольованого середовища для вебконтенту. Це додаткове виправлення для атаки, заблокованої в iOS 17.2. (Компанії Apple відомо про те, що ця проблема могла активно використовуватись у надзвичайно складній атаці на користувачів із версіями iOS, випущеними до iOS 17.2.)
Опис: проблему із записуванням за межами виділеної області пам’яті вирішено завдяки вдосконаленню перевірок для запобігання несанкціонованим діям.
WebKit Bugzilla: 285858
CVE-2025-24201: Apple
Запис додано 9 квітня 2025 р.
WebKit
Доступно для: iPad Pro (12,9 дюйма, 2-го покоління), iPad Pro (10,5 дюйма) та iPad 6-го покоління
Вплив: зловмисний сайт може відстежувати користувачів у приватному режимі перегляду в Safari.
Опис: проблему вирішено завдяки вдосконаленню керування станами.
WebKit Bugzilla: 286580
CVE-2025-30425: анонімний дослідник
WebKit
Доступно для: iPad Pro (12,9 дюйма, 2-го покоління), iPad Pro (10,5 дюйма) та iPad 6-го покоління
Вплив: обробка шкідливого вебконтенту може призводити до несподіваного аварійного завершення роботи Safari.
Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.
WebKit Bugzilla: 284055
CVE-2025-24216: Paul Bakker з ParagonERP
WebKit Bugzilla: 285892
CVE-2025-24264: Gary Kwong і анонімний дослідник
WebKit
Доступно для: iPad Pro (12,9 дюйма, 2-го покоління), iPad Pro (10,5 дюйма) та iPad 6-го покоління
Вплив: обробка шкідливого вебконтенту може призводити до несподіваного аварійного завершення роботи Safari.
Опис: проблему Use-After-Free усунено завдяки вдосконаленню керування пам’яттю.
WebKit Bugzilla: 285643
CVE-2025-30427: rheza (@ginggilBesel)
WebKit
Доступно для: iPad Pro (12,9 дюйма, 2-го покоління), iPad Pro (10,5 дюйма) та iPad 6-го покоління
Вплив: обробка шкідливого вебконтенту може призводити до несподіваного аварійного завершення процесу
Опис: проблему переповнення буфера вирішено завдяки поліпшенню обробки звернень до пам’яті.
WebKit Bugzilla: 286462
CVE-2025-24209: Francisco Alonso (@revskills) і анонімний дослідник
WebKit
Доступно для: iPad Pro (12,9 дюйма, 2-го покоління), iPad Pro (10,5 дюйма) та iPad 6-го покоління
Вплив: обробка шкідливого вебконтенту може призводити до пошкодження пам’яті.
Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.
WebKit Bugzilla: 282450
CVE-2024-54543: Lukas Bernhard, Gary Kwong і анонімний дослідник
WebKit Bugzilla: 277967
CVE-2024-54534: Tashita Software Security
WebKit
Доступно для: iPad Pro (12,9 дюйма, 2-го покоління), iPad Pro (10,5 дюйма) та iPad 6-го покоління
Вплив: обробка шкідливого вебконтенту може призводити до несподіваного аварійного завершення процесу
Опис: проблему вирішено завдяки вдосконаленню обробки пам’яті.
WebKit Bugzilla: 282180
CVE-2024-54508: Xiangwei Zhang із Tencent Security YUNDING LAB, linjy із HKUS3Lab і chluo з WHUSecLab, а також анонімний дослідник
WebKit
Доступно для: iPad Pro (12,9 дюйма, 2-го покоління), iPad Pro (10,5 дюйма) та iPad 6-го покоління
Вплив: обробка шкідливого вебконтенту може призводити до несподіваного аварійного завершення процесу
Опис: проблему вирішено завдяки вдосконаленню перевірок.
WebKit Bugzilla: 281912
CVE-2024-54502: Brendon Tiszka з Google Project Zero
WebKit
Доступно для: iPad Pro (12,9 дюйма, 2-го покоління), iPad Pro (10,5 дюйма) та iPad 6-го покоління
Вплив: проблема переплутування типів може призводити до пошкодження пам’яті.
Опис: проблему вирішено завдяки вдосконаленню обробки значень із рухомою комою.
WebKit Bugzilla: 286694
CVE-2025-24213: Google V8 Security Team
Додаткова подяка
Audio
Дякуємо за допомогу Hossein Lotfi (@hosselot), що співпрацює з компанією Trend Micro в межах ініціативи «Zero Day Initiative».
Security
Дякуємо за допомогу Kevin Jones (GitHub).
Інформація про продукти, вироблені не компанією Apple, або про незалежні веб-сайти, які не контролюються та не тестуються компанією Apple, не носить рекомендаційного характеру та не рекламується компанією. Компанія Apple не несе жодної відповідальності за вибір, функціональність і використання веб-сайтів або продукції сторонніх виробників. Компанія Apple також не несе відповідальність за точність або достовірність даних, розміщених на веб-сайтах сторонніх виробників. Зверніться до відповідного постачальника за додатковою інформацією.