Apple закрыла в iOS и iPadOS уязвимости, которые затрагивают обработку изображений, видео, аудио, шрифтов и PDF-документов, веб-контент и системные компоненты. Среди них есть ошибки работы с памятью, а также ошибки проверки прав доступа и логики управления состоянием. Эксплуатация ведёт к повреждению памяти, доступу к чувствительным данным пользователя, повышению привилегий, выходу из песочницы (изолированной среды, в которой работают приложения) и к отказу в обслуживании. Среди системных компонентов затронуты связка ключей Keychain, Bluetooth и Thread, протокол связи устройств умного дома.
Ошибки памяти и проверок доступа в обработке файлов и веб-контента
Вход для атаки у этих ошибок разный. Один сценарий - специально подготовленный файл, сетевой трафик или веб-контент, который устройство разбирает автоматически. Другой требует локального доступа к самому устройству, то есть атакующий уже работает в системе или уговаривает владельца установить приложение. После этого срабатывают дефекты памяти: чтение и запись за границами буфера, обращение к уже освобождённой памяти, целочисленное переполнение и состояние гонки, когда результат зависит от порядка одновременных операций. Рядом идут путаница типов, при которой объект одного типа обрабатывается как объект другого, и логические ошибки в управлении состоянием.
Последствия зависят от компонента, но набор общий. Повреждение памяти ломает изоляцию приложений и открывает путь к обходу песочницы. Ошибки проверки прав дают доступ к данным других программ. Неверная работа с состоянием приводит к повышению привилегий, то есть к правам, которых у процесса быть не должно. Часть проблем заканчивается неожиданным завершением приложения или системы, а отказ в обслуживании проявляется в недоступности устройства или сервиса.
Отдельно в описании названа недостаточная проверка символических ссылок, то есть файловых объектов, которые указывают на другой файл. Такая ошибка обходит ограничения на доступ к файлам. Keychain при этом хранит пароли и ключи, поэтому сбой в нём затрагивает учётные данные. Bluetooth и Thread связывают устройства между собой, в том числе в системах умного дома, и ошибка здесь затрагивает не только сам телефон, но и связанные с ним устройства.
Оценка по CVSS, отраслевой шкале серьёзности уязвимостей, для CVE-2026-64759 составляет 8.8 из 10. Условия эксплуатации Apple подробно не раскрывает: не указано, нужна ли аутентификация и требуется ли участие пользователя. Не названы и конкретные уязвимые версии - в описании сказано лишь, что проблемы есть в разных ветках iOS и iPadOS. Демонстрационного кода, который подтверждал бы возможность атаки, источник не приводит.
Сведений об эксплуатации этих уязвимостей в реальных атаках в уведомлении нет. Публикация уведомления означает раскрытие технических подробностей, а не подтверждённое использование в атаках.
Исправление вышло: Apple выпустила обновления для iOS и iPadOS, которые закрывают описанные проблемы. Номера исправленных версий в уведомлении не названы, поэтому конкретные сборки нужно смотреть на страницах поддержки Apple, ссылки на них приведены в самом уведомлении. Обходных мер, кроме установки обновления, вендор не называет.
Для управляемого парка устройств действия сводятся к обновлению: поставить свежую сборку iOS и iPadOS и проверить, что она установилась на всех устройствах. Параллельно нужно отслеживать уведомление, пока в нём не появятся точные номера версий. Значимость в том, что вход для атаки не требует редких условий: файл, веб-страница или сетевой пакет обрабатываются на устройстве постоянно.
Ссылки
- https://support.apple.com/en-us/149225
- https://support.apple.com/en-us/149227
- https://support.apple.com/en-us/149230
