В июле 2025 года обнаружена критическая уязвимость в компоненте Shortcuts операционных систем macOS, зарегистрированная под идентификатором BDU:2025-13996. Данная уязвимость связана с недостатками контроля доступа и может позволить злоумышленникам удаленно обходить существующие механизмы безопасности. Эксперты присвоили ей максимальный уровень опасности согласно шкале CVSS.
Детали уязвимости
Уязвимость затрагивает три последние версии операционной системы macOS. В частности, под угрозой находятся Sequoia до версии 15.4, Sonoma до 14.7.7 и Ventura до 13.7.7. Все эти системы подвержены атакам, использующим архитектурный недостаток контроля доступа, классифицируемый как CWE-284. Производитель, компания Apple Inc., уже подтвердил наличие проблемы и выпустил соответствующие обновления.
Согласно базовым векторам оценки, уязвимость обладает высочайшим уровнем критичности. В системе CVSS 2.0 она получила оценку 10 баллов, что соответствует максимальной угрозе. Более современная версия CVSS 3.0 также демонстрирует критический уровень с баллом 9.8. Это означает, что атака может осуществляться через сеть без необходимости аутентификации или взаимодействия с пользователем. Более того, последствия успешной эксплуатации включают полный компрометацию конфиденциальности, целостности и доступности системы.
Основной риск заключается в возможности удаленного нарушения авторизации. Злоумышленники могут использовать уязвимость для обхода защитных механизмов и получения несанкционированного доступа к системе. При этом для атаки не требуется физический доступ к устройству или действия со стороны пользователя. Следовательно, угроза актуальна для всех уязвимых систем, подключенных к сети.
На данный момент способ устранения уязвимости однозначен - необходимо немедленное обновление программного обеспечения. Apple выпустила патчи для всех затронутых версий macOS. Пользователям Sequoia рекомендуется установить версию 15.4, тогда как для Sonoma и Ventura актуальными являются версии 14.7.7 и 13.7.7 соответственно. Производитель предоставил подробные инструкции на своем сайте поддержки.
Эксперты подчеркивают, что уязвимость уже устранена производителем, однако скорость применения обновлений пользователями остается критическим фактором. Задержка в установке патчей может привести к масштабным инцидентам безопасности. Особенно учитывая, что уязвимость позволяет осуществлять атаки без каких-либо видимых признаков для пользователя.
Дополнительно уязвимость зарегистрирована в реестре CVE под идентификатором CVE-2025-43184. Это позволяет организациям коррелировать данные о угрозах в различных системах мониторинга. Между тем, информация о наличии публичных эксплойтов пока уточняется. Тем не менее, высокая оценка по CVSS указывает на потенциальную привлекательность уязвимости для киберпреступников.
В качестве рекомендаций специалисты советуют не только обновить операционную систему, но и проверить настройки контроля доступа для компонента Shortcuts. Кроме того, важно обеспечить мониторинг сетевой активности для обнаружения потенциальных аномалий. Подобные меры помогут снизить риски даже в случае задержки с установкой обновлений.
В заключение следует отметить, что данная уязвимость демонстрирует важность своевременного применения патчей. Производители операционных систем постоянно совершенствуют механизмы безопасности, однако архитектурные недостатки могут проявляться даже в стабильных версиях ПО. Следовательно, регулярное обновление программного обеспечения остается ключевым элементом кибербезопасности как для домашних пользователей, так и для корпоративной среды.
Ссылки
- https://bdu.fstec.ru/vul/2025-13996
- https://www.cve.org/CVERecord?id=CVE-2025-43184
- https://nvd.nist.gov/vuln/detail/CVE-2025-43184
- https://support.apple.com/en-us/122373
- https://support.apple.com/en-us/124150
- https://support.apple.com/en-us/124151
- http://seclists.org/fulldisclosure/2025/Jul/34
- http://seclists.org/fulldisclosure/2025/Jul/33
