Błąd w systemach Apple pozwala ominąć zabezpieczenie Pointer Authentication i był częścią łańcucha użytego w wyrafinowanym ataku. CISA potwierdza wykorzystanie. Zaktualizuj iPhone’y, iPady i Maki, zaczynając od zarządu.
Ten alert jest dla zarządu, CTO i CFO firm, w których pracownicy, a zwłaszcza kadra zarządzająca, używają służbowych iPhone’ów, iPadów, komputerów Mac, Apple TV lub Vision Pro. Werdykt: jeśli urządzenia mają system starszy niż iOS/iPadOS 18.4.1, macOS Sequoia 15.4.1, tvOS 18.4.1 lub visionOS 2.4.1, zaktualizuj je w tym tygodniu do najnowszej dostępnej wersji, bo luka była wykorzystana w wyrafinowanym ataku na wybrane osoby.
Amerykańska agencja CISA 17 kwietnia 2025 roku dopisała podatność CVE-2025-31201 do katalogu KEV, czyli listy luk, co do których ma dowody wykorzystania w prawdziwych atakach. Błąd w systemach Apple pozwala napastnikowi, który już ma możliwość odczytu i zapisu pamięci urządzenia, ominąć zabezpieczenie Pointer Authentication, czyli drugą linię obrony przed przejęciem działającego programu.
Apple wydało poprawki 16 kwietnia 2025 roku i poinformowało, że luka mogła zostać wykorzystana w „niezwykle wyrafinowanym ataku na konkretne osoby” korzystające z iOS. Tego samego dnia załatano drugi błąd z tego łańcucha, CVE-2025-31200 (w przetwarzaniu dźwięku), który również trafił do KEV. Termin CISA minął 8 maja 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-31201 |
Data dodania do CISA KEV | 2025-04-17 |
Termin naprawy wg CISA | 2025-05-08 (21 dni od wpisu) |
Produkt | Apple iOS, iPadOS, macOS, tvOS, visionOS (w KEV: Apple Multiple Products) |
Wersje zagrożone | iOS i iPadOS starsze niż 18.4.1; macOS Sequoia od 15.0 do wersji niższych niż 15.4.1; tvOS starszy niż 18.4.1; visionOS starszy niż 2.4.1. Urządzenia: iPhone XS i nowsze, iPad Pro 13", iPad Pro 12,9" 3. gen. i nowsze, iPad Pro 11" 1. gen. i nowsze, iPad Air 3. gen. i nowsze, iPad 7. gen. i nowsze, iPad mini 5. gen. i nowsze, Apple TV HD i 4K, Apple Vision Pro |
Wersje bezpieczne | iOS i iPadOS 18.4.1, macOS Sequoia 15.4.1, tvOS 18.4.1, visionOS 2.4.1 (pierwsze z poprawką) i każde nowsze wydanie; zalecamy najnowszą dostępną wersję |
Typ podatności | Obejście Pointer Authentication przy istniejącej zdolności dowolnego odczytu i zapisu pamięci; NVD: niewystarczająca szczegółowość kontroli dostępu, KEV bez przypisanego CWE. Apple naprawiło błąd przez usunięcie podatnego kodu |
Ocena CVSS | CISA (program uzupełniający w NVD): 9.8 (CVSS 3.1, KRYTYCZNA) po trzech zmianach oceny. Apple nie podaje oceny, NVD nie nadała własnej |
Ocena 9.8 opisuje skutek całego łańcucha ataku, a nie pojedyncze ogniwo. Według Apple napastnik musi już mieć pełny dostęp do pamięci, więc ta luka sama nikogo do urządzenia nie wpuszcza.
Wyobraź sobie dokument z hologramem. Kto dostanie się do biurka, może podłożyć podrobioną kartkę, ale nie wytworzy hologramu, więc podmiana wychodzi na jaw przy pierwszej kontroli. Pointer Authentication to taki hologram: procesor dopisuje do adresów w pamięci krótki podpis kryptograficzny i sprawdza go przed każdym skokiem. Podmieniony adres nie ma właściwego podpisu, więc program zostaje zatrzymany.
Luka pozwalała w jednym z podzespołów systemu ominąć kontrolę hologramu. Działa to jak wyłamany zamek awaryjny: nie otwiera drzwi wejściowych, ale sprawia, że złodziej, który już wszedł inną drogą, nie zostanie zatrzymany. Apple nie poprawiało tego fragmentu, tylko go usunęło, co sugeruje, że był niepotrzebny do działania systemu.
💡 Pointer Authentication (PAC) to zabezpieczenie procesorów Apple, które podpisuje adresy w pamięci i wykrywa ich podmianę. Dowolny odczyt i zapis pamięci to zdolność, jaką napastnik zdobywa wcześniejszą luką. Łańcuch ataku to kilka luk użytych kolejno: jedna daje wejście, kolejna omija zabezpieczenia. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane. EPSS to model szacujący szansę próby wykorzystania luki w 30 dni.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik korzysta z telefonu | Wszystko działa | Tak samo |
Napastnik zdobywa odczyt i zapis pamięci inną luką | Pointer Authentication zatrzymuje przejęcie programu | Zabezpieczenie zostaje ominięte |
Sama luka bez wcześniejszego wejścia | Brak skutku | Brak skutku, nie jest „drzwiami” |
Łańcuch z CVE-2025-31200 | Obie luki załatane w kwietniu 2025 | Możliwe przejęcie urządzenia wybranej osoby |
Raport skanera sortujący po punktach | Stała ocena | Ocena zmieniała się trzy razy w ciągu 8 miesięcy |
źródło: pexels.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Apple opisuje atak jako „niezwykle wyrafinowany” i skierowany na konkretne osoby, więc nie chodzi o masowe kampanie, tylko o celowane działania wobec wybranych ludzi, np. członków zarządu, prawników czy osób z dostępem do poufnych informacji.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wybór celu | T+0 | Wskazanie osoby, której urządzenie ma zostać przejęte | Lista celów |
2. Wejście | T+dni do tygodni | Użycie innej luki (np. w przetwarzaniu plików multimedialnych) do uzyskania odczytu i zapisu pamięci | Kod napastnika działa w ograniczonym zakresie |
3. Obejście zabezpieczenia | T+sekundy | Wykorzystanie CVE-2025-31201 do ominięcia Pointer Authentication | Przejęcie kontroli nad programem mimo zabezpieczenia |
4. Utrwalenie | T+minuty | Instalacja narzędzi szpiegujących | Dostęp do wiadomości, poczty, zdjęć, lokalizacji |
5. Zbieranie informacji | T+tygodnie | Ciche przesyłanie danych | Wyciek poufnych informacji firmy |
Mogę Ci jakoś pomóc?
Dla większości pracowników prawdopodobieństwo takiego ataku jest niskie, bo jest drogi i celowany. Dla osób z dostępem do najcenniejszych informacji firmy skutek byłby jednak bardzo poważny: pełny wgląd w komunikację. Aktualizacja jest bezpłatna i jednocześnie usuwa ogniwo „wejściowe” łańcucha.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Konieczność wymiany lub przywrócenia urządzeń, zmiany kont i haseł | Dni | 5 tys. do 50 tys. PLN (analiza urządzeń, czas pracy) |
Bezpieczeństwo danych | Wyciek wiadomości, poczty, dokumentów i kontaktów z urządzenia | Tygodnie niezauważonego dostępu | 30 tys. do 200 tys. PLN (analiza specjalistyczna, obsługa incydentu) |
Finansowy | Utrata przewagi w negocjacjach, przetargach lub transakcjach | Miesiące | 50 tys. do 1 mln PLN (zależnie od ujawnionych informacji) |
Reputacyjny | Utrata zaufania partnerów po ujawnieniu poufnej komunikacji | Miesiące | 30 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Zgłoszenie naruszenia do UODO w ciągu 72 godzin, jeśli wyciekły dane osobowe; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; naruszenie tajemnicy przedsiębiorstwa lub umów o poufności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z urządzeniami Apple bez aktualizacji z kwietnia 2025
Wpływ
5 | . . ■ . . ← ■ osoby z dostępem do kluczowych informacji
4 | . . . . .
3 | . ○ . . . ← ○ typowy pracownik
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: dla typowego pracownika prawdopodobieństwo jest niskie, bo atak był celowany i wymaga łańcucha luk; dla zarządu i osób z dostępem do poufnych informacji wpływ byłby krytyczny, a prawdopodobieństwo wyższe, więc ich urządzenia trzeba zaktualizować w pierwszej kolejności.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Zaktualizować iPhone’y, iPady i komputery Mac zarządu i osób z dostępem do poufnych informacji | Dziś | Administrator / użytkownicy |
2 | 🟠 PILNIE | Sprawdzić wersje systemów na wszystkich służbowych urządzeniach Apple (w systemie MDM lub ręcznie) | Do 3 dni | Administrator |
3 | 🟠 PILNIE | Zaktualizować pozostałe urządzenia, także Apple TV w salach konferencyjnych i Vision Pro | Do 7 dni | Administrator |
4 | 🟠 PILNIE | Zidentyfikować urządzenia, które nie mogą dostać wymaganej wersji systemu, i zaplanować ich wymianę | Do 14 dni | CTO |
5 | 🟡 WAŻNIE | Włączyć automatyczne aktualizacje lub wymuszanie wersji minimalnej przez MDM | Do 30 dni | Administrator |
6 | 🟡 WAŻNIE | Rozważyć tryb blokady (Lockdown Mode) dla osób szczególnie narażonych na ataki celowane | Do 30 dni | CTO |
Apple wydało poprawki dla wszystkich wymienionych systemów i nie podaje obejść. Jeśli urządzenie nie może otrzymać aktualizacji, jedyną trwałą drogą jest jego wymiana. Efektywność to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wymiana urządzeń, które nie dostaną wymaganej wersji | Wysoka | Średnia, koszt sprzętu |
Tryb blokady (Lockdown Mode) dla osób szczególnie narażonych | Średnia: ogranicza powierzchnię ataków celowanych, nie usuwa luki | Łatwa, ale ogranicza funkcje |
Wyłączenie dostępu do poufnych systemów z nieaktualnych urządzeń (MDM) | Średnia: ogranicza skutki | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Systemy urządzeń Apple | Starsze niż wydania z kwietnia 2025 | Najnowsze dostępne wersje |
Urządzenia zarządu | Aktualizowane „kiedyś” | Priorytet i wymuszona wersja minimalna |
Wiedza o flocie | Nieznane wersje | Raport z MDM lub inwentaryzacji |
Stare urządzenia | W użyciu bez wsparcia | Zaplanowana wymiana |
Decyzje o pilności | Według punktacji w raporcie | Według obecności w katalogu CISA KEV |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Apple: możliwe wykorzystanie w niezwykle wyrafinowanym ataku na konkretne osoby na iOS |
Grupy przestępcze | Brak publicznych informacji; Apple przypisało wykrycie własnym zespołom |
Kampanie ransomware | Brak potwierdzenia (CISA KEV: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA wg programu uzupełniającego CISA w NVD (CVSS 3.1), po zmianach w czerwcu i listopadzie 2025; Apple i NVD bez własnej oceny |
PoC dostępny publicznie? | Brak potwierdzonego kodu; w NVD podlinkowany jest publiczny opis łańcucha CVE-2025-31200 i CVE-2025-31201 z repozytorium niezależnego autora |
Liczba atakowanych firm | Brak publicznych informacji; atak celowany w konkretne osoby |
Powiązana luka | CVE-2025-31200 (uszkodzenie pamięci przy przetwarzaniu dźwięku), w KEV od 17 kwietnia 2025 |
Prognoza EPSS | Ok. 14,7%, wyżej niż 96% znanych luk; niżej niż przy CVE-2025-31200, bo ta luka nie działa samodzielnie |
Ocena punktowa tej samej luki zmieniała się trzy razy, choć sama luka się nie zmieniła. O pilności decyduje wpis w KEV, a nie próg punktowy:
Mogę Ci jakoś pomóc?
Ocena CVSS CVE-2025-31201 w czasie (program uzupełniający CISA)
2025-04 wysoka złożoność, wymagane uprawnienia ██████████░░░░░░░░░░ poniżej progu wielu firm
2025-06 dopisany wpływ na dostępność ████████████░░░░░░░░ wyżej
2025-11 niska złożoność, bez uprawnień 9.8/10 ████████████████████ KRYTYCZNA 2025-04-16 Apple wydaje iOS/iPadOS 18.4.1, macOS 15.4.1, tvOS 18.4.1, visionOS 2.4.1
2025-04-16 Publikacja CVE-2025-31201, Apple: możliwe wykorzystanie w ataku celowanym
2025-04-17 CISA dodaje lukę (i CVE-2025-31200) do katalogu KEV
2025-05-08 Termin naprawy wg CISA dla agencji federalnych
2025-06 Pierwsza zmiana oceny CVSS
2025-11 Druga zmiana oceny CVSS, wynik 9.8
... ponad 16 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyny Apple: iOS i iPadOS 18.4.1 , macOS Sequoia 15.4.1 , tvOS 18.4.1 , visionOS 2.4.1 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-31201 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, że urządzenia Apple członków zarządu mają najnowszy system | CTO | DZISIAJ |
2 | Zlecić raport wersji systemów wszystkich służbowych urządzeń Apple | CTO | DZISIAJ |
3 | Zatwierdzić wymuszenie minimalnej wersji systemu przez MDM | CTO | DO JUTRA |
4 | Wskazać urządzenia bez możliwości aktualizacji i zatwierdzić budżet na wymianę | CFO | DO JUTRA |
5 | Ustalić listę osób szczególnie narażonych na ataki celowane | CTO | DO JUTRA |
6 | Sprawdzić, czy prywatne urządzenia używane do pracy też są objęte zasadami aktualizacji | CTO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile służbowych urządzeń Apple mamy i jakie wersje systemów na nich działają? | [liczba], [wersje] | 🔴 |
2 | Czy urządzenia zarządu mają najnowszy dostępny system? | TAK / NIE | 🔴 |
3 | Czy zarządzamy urządzeniami Apple przez MDM? | TAK / NIE | 🟠 |
4 | Czy wymuszamy minimalną wersję systemu? | TAK / NIE, [wersja] | 🟠 |
5 | Które urządzenia nie mogą otrzymać wymaganej wersji systemu? | [lista] | 🟠 |
6 | Czy Apple TV w salach konferencyjnych są aktualizowane? | TAK / NIE | 🟡 |
7 | Czy prywatne telefony z dostępem do poczty firmowej są objęte wymogami wersji? | TAK / NIE | 🟡 |
CVE-2025-31201 pozwala napastnikowi, który już wszedł do urządzenia Apple inną luką, ominąć zabezpieczenie Pointer Authentication i przejąć kontrolę. Luka była użyta w celowanym ataku na wybrane osoby i jest w katalogu CISA KEV, więc aktualizacja urządzeń zarządu to zadanie na dziś, a całej floty Apple na ten tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.