Pada 25 Ogos 2025, Apple mengeluarkan kemas kini keselamatan segera untuk mengurangkan kerentanan sifar-tekan kritikal (CVE-2025-43300) dalam rangka kerja Image I/O mereka. Kelemahan ini membolehkan pemprosesan fail imej yang direka khas yang boleh mencetuskan penulisan memori melebihi had dan pelaksanaan kod sewenang-wenangnya tanpa memerlukan interaksi pengguna. Jenis eksploitasi ini, yang sering diklasifikasikan sebagai sifar-tekan, amat berbahaya bagi pemegang kriptowang kerana ia boleh digunakan untuk menjejaskan aplikasi dompet dan mengakses kunci peribadi yang disimpan pada peranti.
Panduan Apple menyatakan bahawa terdapat bukti kerentanan ini telah dieksploitasi dalam serangan dunia sebenar yang canggih terhadap sasaran bernilai tinggi. Platform yang terjejas termasuk iOS 18.6.2, iPadOS 18.6.2 dan 17.7.10, macOS Sequoia 15.6.1, Sonoma 14.7.8 dan Ventura 13.7.8. Syarikat telah mempertingkatkan pemeriksaan sempadan dalam perpustakaan Image I/O untuk membetulkan kekurangan pengendalian memori yang membenarkan penulisan di luar skop.
Pakar keselamatan memberi amaran bahawa sifat sifar-tekan eksploit ini menghapuskan pencetus biasa yang dipacu oleh pengguna, seperti membuka dokumen atau mengklik pautan. Sebaliknya, pelaku berniat jahat boleh menyematkan muatan berbahaya dalam metadata imej yang diedarkan melalui platform mesej seperti iMessage. Setelah diterima, rutin pemaparan imej automatik peranti akan memproses data berniat jahat tersebut, membawa kepada kompromi peranti dan kemungkinan kecurian maklumat sensitif—termasuk kelayakan dompet kriptowang, frasa pemulihan dan token pengesahan pertukaran.
Juliano Rizzo, pengasas firma keselamatan siber Coinspect, menekankan risiko tinggi kepada pengguna aset digital. Beliau menasihatkan sasaran bernilai tinggi untuk segera menukar kunci peribadi dan memindahkan pegangan ke dompet perkakasan. Bagi pengguna umum, Apple mengesyorkan pemasangan segera kemas kini keselamatan dan pengesahan versi perisian yang dipasang, sambil memberi amaran bahawa kelewatan tampalan boleh meninggalkan peranti terdedah kepada serangan selanjutnya.
Penyedia analitik blockchain CertiK menyorot bahawa kerentanan sifar-tekan serupa telah digunakan oleh pelaku ancaman berpunca dari negara dalam kempen-kempen sebelum ini. Kelemahan baru Apple ini menegaskan keperluan bagi penyelidikan kerentanan berterusan dan amalan pendedahan proaktif. Ia menandakan sifar-hari keenam yang ditangani oleh Apple pada tahun 2025, kadar rekod yang mencerminkan kemampuan adversari yang semakin meningkat di alam nyata.
Organisasi yang mengendalikan operasi kriptowang skala besar digalakkan untuk menjalankan audit peranti yang menyeluruh, menguatkuasakan polisi kemas kini yang ketat dan mempertimbangkan penyelesaian pertahanan ancaman mudah alih yang boleh mengesan kelakuan luar biasa yang menunjukkan eksploitasi sifar-tekan. Pembangun perisian dalam ekosistem kripto juga dinasihatkan untuk mengasingkan proses dompet dan meminimumkan permukaan serangan dengan memisahkan operasi penandatanganan kritikal daripada kod aplikasi umum.
Dengan pelancaran tampalan kini aktif, Apple menegaskan komitmennya untuk mitigasi kerentanan yang pantas dan kerjasama dengan komuniti penyelidikan keselamatan. Pengguna diarahkan kepada saluran sokongan Apple untuk arahan kemas kini dan panduan lanjut mengenai keselamatan peranti dan aset digital dalam landskap ancaman yang sentiasa berubah.
Komen (0)