- Aktif istismar
- Yama var
- CWE-787
CVE-2025-43300
Apple iOS, iPadOS ve macOS'ta kötü amaçlı görüntü ile bellek taşması (sınır dışı yazma)
- Yayımlandı
- Güncellendi
- 17 Haz 2026
- Açık yaşı
- 433 gün
- Kaydı açan
- apple
Yönetici özeti
Apple cihazlarında (iPhone, iPad, Mac) bulunan bu açık, zararlı bir görüntü dosyası aracılığıyla cihazın ele geçirilmesine yol açabilir ve gerçek saldırılarda kullanıldığı bildirilmiştir. Güncelleme yayımlanmıştır ve kurumdaki tüm Apple cihazlarına gecikmeden uygulanmalıdır. Özellikle yönetici, gazeteci veya hassas bilgilere erişen kullanıcıların cihazları öncelikli güncellenmelidir.
ÖzetTürkçe
Apple iOS, iPadOS ve macOS'ta görüntü dosyalarının işlenmesi sırasında yeterli sınır denetimi yapılmaması nedeniyle sınır dışı yazma (CWE-787) açığı oluşuyor. Kötü amaçlı hazırlanmış bir görüntü dosyası bellek bozulmasına yol açabiliyor. Etkilenen sürümler arasında iOS/iPadOS 15.8.5, 16.7.12, 17.7.10 ve 18.6.2 öncesi ile macOS Ventura 13.7.8, Sonoma 14.7.8 ve Sequoia 15.6.1 öncesi sürümler yer alıyor. Apple, açığın belirli hedeflere yönelik son derece sofistike saldırılarda istismar edilmiş olabileceğini bildirdi ve açık CISA KEV listesine eklendi.
Saldırgan ne yapabilir?
Saldırgan, kullanıcı etkileşimi gerektirmeden ağ üzerinden bellek bozulması tetikleyerek cihaz üzerinde yüksek düzeyde gizlilik, bütünlük ve erişilebilirlik kaybına neden olabilir. CVSS puanı 10 (kritik) olup açık hedefli saldırılarda aktif olarak kullanılmıştır.
Kaynaktaki açıklama (İngilizce)
An out-of-bounds write issue was addressed with improved bounds checking. This issue is fixed in iOS 15.8.5 and iPadOS 15.8.5, iOS 16.7.12 and iPadOS 16.7.12, iOS 18.6.2 and iPadOS 18.6.2, iPadOS 17.7.10, macOS Sequoia 15.6.1, macOS Sonoma 14.7.8, macOS Ventura 13.7.8. Processing a malicious image file may result in memory corruption. Apple is aware of a report that this issue may have been exploited in an extremely sophisticated attack against specific targeted individuals.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Ne yapmalı?
- iOS ve iPadOS cihazlarını düzeltilmiş sürümlere güncelleyin: iOS/iPadOS 18.6.2, 16.7.12 veya 15.8.5; iPadOS 17 kullanan cihazlar için 17.7.10. Üretici
- macOS sistemlerini düzeltilmiş sürümlere güncelleyin: macOS Sequoia 15.6.1, Sonoma 14.7.8 veya Ventura 13.7.8. Üretici
- Apple'ın talimatları doğrultusunda azaltım önlemlerini uygulayın; bu önlemler mümkün değilse ürünün kullanımını durdurun. CISA
- Güncelleme alamayan eski cihazları kritik verilerden ve güvenilmeyen içeriklerden uzak tutun veya kullanımdan kaldırın. Genel öneri
Ek önlemler
- Kurumsal cihaz yönetimi (MDM) üzerinden güncellemelerin tüm cihazlarda uygulandığını doğrulayın ve sürüm uyumluluğunu düzenli denetleyin. Genel öneri
- Tanımadığınız kaynaklardan gelen görüntü dosyalarını ve mesaj eklerini açmaktan kaçının. Genel öneri
- Hedefli saldırı riski taşıyan kullanıcılar için cihazlarda otomatik güncellemeleri etkinleştirin ve şüpheli cihaz davranışlarını güvenlik ekibine bildirin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler3 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Apple iOS and iPadOS | < 15.8.5 | 15.8.5 |
| < 16.7.12 | 16.7.12 | |
| < 18.6.2 | 18.6.2 | |
| apple ipados | < 17.7.10 | 17.7.10 |
| Apple macOS | < 13.7.8 | 13.7.8 |
| < 14.7.8 | 14.7.8 | |
| < 15.6.1 | 15.6.1 |
Kaynaklar15 kaynak
- CVE.org kaydı
- NVD kaydı
- seclists.org/fulldisclosure/2025/Sep/10 Üçüncü taraf
- seclists.org/fulldisclosure/2025/Sep/14 Üçüncü taraf
- seclists.org/fulldisclosure/2025/Sep/52 Üçüncü taraf
- github.com/cisagov/vulnrichment/issues/201 Üçüncü taraf
- github.com/b1n4r1b01/n-days/blob/main/CVE-2025-43300.md İstismar kodu ya da analiz
- support.apple.com/en-us/124925 Diğer
- support.apple.com/en-us/124926 Diğer
- support.apple.com/en-us/124927 Diğer
- support.apple.com/en-us/124928 Diğer
- support.apple.com/en-us/124929 Diğer
- support.apple.com/en-us/125141 Diğer
- support.apple.com/en-us/125142 Diğer
- cisa.gov/known-exploited-vulnerabilities-catalog Diğer
Kayıt geçmişi
- Yayımlandı
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.