Apple va llançar l’actualització de seguretat iOS 18.5 per abordar múltiples vulnerabilitats crítiques en les seues plataformes iOS i macOS. Estes vulnerabilitats podrien ser explotades per atacants per a executar un codi arbitrari, comprometre la privacitat de l’usuari i afectar l’estabilitat del sistema.
Anàlisi
A continuació, es detallen les principals vulnerabilitats corregides en iOS 18.5, juntament amb els seus identificadors CVE i puntuacions CVSS:
- CVE-2025-31251 (CVSS 7.8): AppleJPEG: Vulnerabilitat que permet l’execució de codi arbitrari en processar arxius multimèdia manipulats. manipulados.
- CVE-2025-31239 (CVSS 7.5): CoreMedia: Vulnerabilitat d’ús després d’alliberar memòria que pot causar l’acabament inesperat d’aplicacions.
- CVE-2025-31233 (CVSS 7.5): CoreMedia: Vulnerabilitat similar que afecta el processament d’arxius de vídeo i permet l’execució de codi arbitrari.
- CVE-2025-31208 (CVSS 7.5): CoreAudio: Problema d’anàlisi d’arxius que pot provocar l’acabament inesperat d’aplicacions.
- CVE-2025-31209 (CVSS 7.5): CoreGraphics: Lectura fora de límits en l’anàlisi d’arxius que pot revelar informació sensible.
- CVE-2025-31222 (CVSS 7.0): mDNSResponder: Vulnerabilitat que permet l’escalada de privilegis a través de la manipulació de servicis de xarxa.
- CVE-2025-31214 (CVSS 7.0): Baseband: Vulnerabilitat en la gestió de l’estat que permet la intercepció de trànsit de xarxa en dispositius iPhone 16e.
- CVE-2025-31225 (CVSS 6.5): Call History: Exposició d’historial de telefonades d’aplicacions eliminades en els resultats de busca de Spotlight.
- CVE-2025-31212 (CVSS 6.5): Core Bluetooth: Accés no autoritzat a dades sensibles per part d’aplicacions a través de la gestió inadequada de l’estat.
- CVE-2025-31219 (CVSS 6.4): FaceTime: Vulnerabilitat en la funció de silenci del micròfon que pot permetre la transmissió d’àudio no desitjada.
Recursos afectats
Les versions de dispositius Apple següents es veuen afectades per estes vulnerabilitats:
- iPhone: Models des d’iPhone XS en avant.
- iPad: Models des d’iPad 7a generació, iPad Air 3a generació, iPad mini 5a generació, i totes les versions d’iPad Pro.
- macOS: Versions afectades inclouen macOS Ventura 13.6.8, macOS Sonoma 14.6, i versions anteriors.
- watchOS y tvOS: Versions afectades inclouen watchOS 10.6 i tvOS 17.6.
A més, s’ha identificat una vulnerabilitat en el component Baseband (CVE-2025-31214) que afecta exclusivament els dispositius iPhone 16e que permet la intercepció de trànsit de xarxa en una posició privilegiada de la xarxa.
Recomanacions
Els usuaris han d’actualitzar els seus dispositius a iOS 18.5, iPadOS 18.5 o les versions corresponents de macOS, watchOS i tvOS.
Referències