Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • CWE-787

CVE-2025-24201

Apple WebKit'te sınır dışı yazma açığı: Web Content sandbox'tan kaçış

Apple iOS and iPadOSapple ipadosApple macOS

Kritik 10,0 CVSS 3.1
Yayımlandı
Güncellendi
2 Nis 2026
Açık yaşı
595 gün
Kaydı açan
apple
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 13 Mar 2025 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 3 Nis 2025.

Yönetici özeti

Apple cihazlarında yalnızca kötü amaçlı bir web sayfasının açılması, cihazın güvenlik korumalarının aşılmasına yol açabilir. Açığın gerçek saldırılarda kullanıldığı bilindiği için güncellemeler gecikmeden uygulanmalıdır. Kurum cihazlarının güncel olup olmadığı hızla kontrol edilmelidir.

ÖzetTürkçe

Apple'ın WebKit bileşeninde, sınır dışı yazma (CWE-787) türünde bir güvenlik açığı bulunuyor. Özel hazırlanmış web içeriği, Web Content sandbox'ının dışına çıkabiliyor. Açık Safari, iOS, iPadOS, macOS, visionOS ve watchOS'un yamalanmamış sürümlerini etkiliyor. Apple, açığın iOS 17.2 öncesi sürümlerde belirli kişilere yönelik son derece gelişmiş bir saldırıda istismar edilmiş olabileceğini bildirdi; bu düzeltme, o saldırı için yapılan engellemeyi tamamlayan ek bir düzeltmedir. CISA açığı istismar edilen güvenlik açıkları (KEV) kataloğuna ekledi.

Saldırgan ne yapabilir?

Saldırgan, kötü amaçlı bir web sayfası aracılığıyla tarayıcı sandbox'ını aşabilir ve cihazın gizliliğini, bütünlüğünü ve erişilebilirliğini ciddi biçimde tehlikeye atabilir. Kullanıcı etkileşimi ya da yetki gerekmeden ağ üzerinden istismar edilebilir (CVSS 10.0).

Kaynaktaki açıklama (İngilizce)

An out-of-bounds write issue was addressed with improved checks to prevent unauthorized actions. This issue is fixed in Safari 18.3.1, iOS 15.8.4 and iPadOS 15.8.4, iOS 16.7.11 and iPadOS 16.7.11, iOS 18.3.2 and iPadOS 18.3.2, iPadOS 17.7.6, macOS Sequoia 15.3.2, visionOS 2.3.2, watchOS 11.4. Maliciously crafted web content may be able to break out of Web Content sandbox. This is a supplementary fix for an attack that was blocked in iOS 17.2. (Apple is aware of a report that this issue may have been exploited in an extremely sophisticated attack against specific targeted individuals on versions of iOS before iOS 17.2.).

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Ne yapmalı?

  1. Safari'yi 18.3.1 veya üzeri bir sürüme güncelleyin. Üretici
  2. iOS ve iPadOS cihazlarını ilgili sürüme yükseltin: 15.8.4, 16.7.11 veya 18.3.2 (iPadOS 17 kullanan cihazlar için 17.7.6). Üretici
  3. macOS cihazlarını macOS Sequoia 15.3.2, visionOS cihazlarını 2.3.2, watchOS cihazlarını ise 11.4 sürümüne güncelleyin. Üretici
  4. Üretici talimatları doğrultusunda azaltıcı önlemleri uygulayın; bu önlemler mümkün değilse ürünün kullanımını durdurun. CISA

Ek önlemler

  • Kurumsal Apple cihazlarında otomatik güncellemeleri etkinleştirin ve MDM üzerinden güncelleme uyumluluğunu izleyin. Genel öneri
  • Güncelleme yapılana kadar kullanıcılara bilinmeyen bağlantılara ve güvenilmeyen web sitelerine tıklamamaları konusunda uyarıda bulunun. Genel öneri
  • Hedefli saldırı riski taşıyan kullanıcılar (yöneticiler, gazeteciler vb.) için cihazlarını öncelikli güncelleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler6 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Apple iOS and iPadOS < 15.8.4 15.8.4
< 16.7.11 16.7.11
< 18.3.2 18.3.2
apple ipados < 17.7.6 17.7.6
Apple macOS < 15.3.2 15.3.2
Apple Safari < 18.3.1 18.3.1
Apple visionOS < 2.3.2 2.3.2
Apple watchOS < 11.4 11.4

Kaynaklar10 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.