Η Apple έχει εκδώσει επείγουσα προειδοποίηση ασφαλείας σχετικά με τρεις κρίσιμες ευπάθειες zero-day, τις CVE-2025-24200, CVE-2025-24201 και CVE-2025-24085, οι οποίες έχουν εκμεταλλευτεί σε εξελιγμένες επιθέσεις.
Δείτε επίσης: Η EncryptHub εκμεταλλεύτηκε zero-day ευπάθεια του Microsoft Management Console
Αυτές οι ευπάθειες επηρεάζουν μια ευρεία γκάμα συσκευών της Apple, συμπεριλαμβανομένων των iPhones, iPads, Macs και άλλων πλατφορμών. Συνιστάται στους χρήστες να ενημερώσουν άμεσα τις συσκευές τους προκειμένου να μειώσουν τους πιθανούς κινδύνους ασφαλείας.
CVE-2025-24200
Η πρώτη ευπάθεια, που παρακολουθείται ως CVE-2025-24200, είναι ένα σφάλμα εξουσιοδότησης που μπορεί να εκμεταλλευτεί σε φυσική επίθεση για να απενεργοποιήσει τo USB Restricted Mode σε μια κλειδωμένη συσκευή.
Σύμφωνα με την ανακοίνωση της Apple, αυτή η ευπάθεια zero-day “μπορεί να έχει εκμεταλλευτεί σε μια εξαιρετικά εξελιγμένη επίθεση κατά συγκεκριμένων στοχευμένων ατόμων“.
Η ευπάθεια εντοπίστηκε και αναφέρθηκε από τον Bill Marczak του The Citizen Lab στο Munk School του Πανεπιστημίου του Τορόντο. Ένας κακόβουλος χρήστης μπορεί να απενεργοποιήσει το USB Restricted Mode σε μια κλειδωμένη συσκευή, στο πλαίσιο μιας κυβερνοεπίθεσης.
Το USB Restricted Mode, που εισήχθη στην έκδοση iOS 11.4.1, αποτρέπει τις συσκευές iOS και iPadOS από το να επικοινωνούν με συνδεδεμένα αξεσουάρ εάν η συσκευή δεν έχει ξεκλειδωθεί μέσα στην τελευταία ώρα – μια κρίσιμη λειτουργία ασφαλείας που έχει σχεδιαστεί για να αποτρέπει τα εργαλεία εγκληματολογικής ανάλυσης.
Δείτε ακόμα: Επιδιορθώσεις για την ευπάθεια Windows zero-day που επηρεάζει το NTLM
CVE-2025-24201
Η δεύτερη ευπάθεια, η CVE-2025-24201, επηρεάζει το WebKit, τον κινητήρα περιήγησης που υποστηρίζει το Safari και πολλές εφαρμογές iOS.
Αυτό το πρόβλημα θα μπορούσε να επιτρέψει σε κακόβουλα σχεδιασμένο διαδικτυακό περιεχόμενο να ξεφύγει από το sandbox του Web Content.
Η Apple το περιγράφει ως “μια συμπληρωματική διόρθωση για μια επίθεση που αποκλείστηκε στο iOS 17.2” και αναγνωρίζει ότι “μπορεί να έχει εκμεταλλευτεί σε μια εξαιρετικά εξελιγμένη επίθεση κατά συγκεκριμένων στοχευμένων ατόμων σε εκδόσεις του iOS πριν από το iOS 17.2“.
Δείτε επίσης: Google Chrome: Διόρθωσε σοβαρή zero-day ευπάθεια
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
CVE-2025-24085
Η τρίτη ευπάθεια zero-day, η CVE-2025-24085, είναι μια ευπάθεια τύπου use-after-free στο στοιχείο CoreMedia, το οποίο είναι ένα πλαίσιο που διαχειρίζεται την αναπαραγωγή ήχου και βίντεο σε προϊόντα της Apple.
Όπως αναφέρεται στην ανακοίνωση της Apple, “Μια κακόβουλη εφαρμογή μπορεί να είναι σε θέση να ανυψώσει τα δικαιώματα πρόσβασης“. Αυτή η ευπάθεια επηρεάζει πολλές εκδόσεις λειτουργικών συστημάτων της Apple, συμπεριλαμβανομένων των iOS, iPadOS, macOS, watchOS και tvOS. Η αδυναμία αυτή έχει εκμεταλλευτεί ενεργά σε παλαιότερες εκδόσεις του iOS πριν από την έκδοση 17.2.
Πηγή: cybersecuritynews
