Pe 25 august 2025, Apple a lansat o actualizare urgentă de securitate pentru a remedia o vulnerabilitate critică zero-click (CVE-2025-43300) în cadrul framework-ului său Image I/O. Defectul permitea procesarea fișierelor de imagine create special, care puteau declanșa scrieri în afara limitelor memoriei și execuția arbitrară a codului fără a necesita interacțiune din partea utilizatorului. Acest tip de exploit, adesea clasificat drept zero-click, este deosebit de periculos pentru deținătorii de criptomonede, deoarece poate fi folosit pentru a compromite aplicațiile de portofel și a accesa cheile private stocate pe un dispozitiv.
Aviso-ul Apple menționa că există dovezi privind exploatarea vulnerabilității în atacuri sofisticate din lumea reală împotriva țintelor de mare valoare. Platformele afectate includ iOS 18.6.2, iPadOS 18.6.2 și 17.7.10, macOS Sequoia 15.6.1, Sonoma 14.7.8 și Ventura 13.7.8. Compania a îmbunătățit verificarea limitelor în biblioteca Image I/O pentru a corecta deficiențele de gestionare a memoriei care permiteau scrieri în afara zonei alocate.
Experții în securitate avertizează că natura zero-click a exploitului elimină declanșatoarele obișnuite bazate pe utilizator, cum ar fi deschiderea unui document sau clicul pe un link. În schimb, actorii rău intenționați pot încorpora payload-uri în metadatele imaginilor distribuite prin platforme de mesagerie precum iMessage. La primire, rutinele automate de redare a imaginilor ale dispozitivului procesează datele malițioase, ducând la compromiterea dispozitivului și la posibilitatea furtului de informații sensibile—incluzând credențialele portofelelor de criptomonede, frazele de recuperare și token-urile de autentificare pentru exchange-uri.
Juliano Rizzo, fondatorul firmei de securitate cibernetică Coinspect, a subliniat riscul crescut pentru utilizatorii de active digitale. El a recomandat ca țintele de mare valoare să rotească imediat cheile private și să migreze deținerile către portofele hardware. Pentru utilizatorii obișnuiți, Apple a recomandat instalarea promptă a actualizărilor de securitate și verificarea versiunilor software instalate, avertizând că întârzierea aplicării patch-ului poate lăsa dispozitivele expuse unor atacuri suplimentare.
Furnizorul de analiză blockchain CertiK a subliniat că vulnerabilități similare zero-click au fost folosite anterior de actori statali în campanii anterioare. Noua vulnerabilitate Apple evidențiază necesitatea cercetării continue a vulnerabilităților și a practicilor proactive de dezvăluire. Aceasta marchează a șasea zero-day abordată de Apple în 2025, un ritm record care reflectă capacitățile adversarilor în creștere în mediul real.
Organizațiile care gestionează operațiuni criptomonede la scară largă sunt încurajate să realizeze audituri amănunțite ale dispozitivelor, să impună politici stricte de actualizare și să ia în considerare soluții de apărare împotriva amenințărilor mobile care pot detecta comportamente anormale indicând exploit-uri zero-click. Dezvoltatorii software din ecosistemul cripto sunt sfătuiți să izoleze procesele portofelelor și să minimizeze suprafața de atac prin decuplarea operațiunilor critice de semnare de codul aplicațiilor cu scop general.
Odată cu lansarea patch-ului, Apple a reafirmat angajamentul său pentru remedierea rapidă a vulnerabilităților și colaborarea cu comunitatea de cercetare în securitate. Utilizatorii sunt îndrumați către canalele de suport Apple pentru instrucțiuni de actualizare și ghidaj suplimentar privind securizarea dispozitivelor și activelor digitale într-un peisaj de amenințări în continuă evoluție.
Comentarii (0)