Apple, 12 Mayıs 2025’te MacOS Sequoia 15.5 için kritik güvenlik güncellemelerini yayınladı ve çekirdek düzeyinde bellek bozulma risklerinden uygulama sanal alan kaçışlarına kadar sistem bileşenleri arasında 40’ın üzerinde güvenlik açıkına değindi.
Yamalar, saldırganların hassas kullanıcı verilerine erişmesine, sistem çökmelerini tetiklemesine veya keyfi kod yürütmesine izin verebilecek kusurları hedefler.
Akademik kurumlardan ve MIT CSAIL, Trend Micro Sıfır Günü Girişimi ve Google Project dahil olmak üzere siber güvenlik firmalarından araştırmacılar bu sorunların çoğunu sıfır.
.png
)
Birden fazla güvenlik açığı, macOS’un temel hizmetleri aracılığıyla hassas verilere yetkisiz erişim sağladı.
Konum ve kişiler gibi kaynaklar için uygulama izinlerini yöneten TCC çerçevesi, kullanıcı gizlilik tercihlerini açıklayan bir bilgi açıklama kusuru (CVE-2025-31250) içeriyordu.
Bu arada, CoreGraphics alt sistemi, saldırganların dosya ayrıştırma sırasında korunan grafik verileri çıkarmasına izin veren sınır dışı bir okuma güvenlik açığı (CVE-2025-31209) vardı.
Notlar uygulaması, sıcak köşe özelliğinden yanlışlıkla silinen notları ortaya çıkaran önbellek taşıma gözetimi (CVE-2025-31256) nedeniyle riskler oluşturdu.
Benzer şekilde, StoreKit, potansiyel olarak sızdıran satın alma geçmişleri ve abonelik detayları olan REDACTED kullanıcı verilerini (CVE-2025-31242) kaydetti.
Apple’ın hava durumu uygulaması ayrıca kötü amaçlı uygulamaların coğrafi konum kısıtlamalarını atlamasına izin veren bir konum gizlilik kusuru (CVE-2025-31220) içeriyordu.
Araştırmacılar, hazırlanmış medya dosyalarının işlem belleğini bozabileceği ve kullanıcı bilgilerini açığa çıkarabileceği Applejpeg (CVE-2025-31251) ve Coremedia’da (CVE-2025-31233) sistemik riskleri vurguladılar.
Bu güvenlik açıkları, karmaşık multimedya işleme boru hatlarını güvence altına almanın zorluklarının altını çizmektedir.
Bellek istismarları yoluyla sistem bütünlüğü
Çekirdek seviyesi güvenlik açıkları yüksek şiddetli düzeltmelere hakim oldu. Ses alt sistemlerinde (CVE-2025-31235) çift ücretsiz bir kusur, AFP’nin sistem çökmelerini tetiklemesine izin verirken AFP Dosya paylaşım protokolünün iki kritik zayıflığı vardı:
CVE-2025-31246, kötü amaçlı sunucuların çekirdek belleğini bozmasına izin verdi ve CVE-2025-31240, saldırganların kötü biçimlendirilmiş ağ paylaşımları aracılığıyla sistemleri çökertmesine izin verdi.
Webkit motoru, kötü niyetli web içeriği yoluyla kullanılabilen bir karışıklık güvenlik açığı olan CVE-2025-24213 de dahil olmak üzere yedi farklı bellek bozulması kusuruyla karşılaştı.
Google’ın V8 ekibi bunun Safari’nin güvenlik kontrollerini atlayabileceğini keşfetti.
Çekirdekte, CVE-2025-31219, saldırganların yarış koşulları aracılığıyla hafızayı bozmasını sağladı ve potansiyel olarak kök ayrıcalıklarına yol açtı.
Apple ayrıca, üçüncü taraf tarafından bildirilen keyfi kod yürütme riskine sahip olan açık kaynaklı bir XML ayrıştırıcısı olan Libexpat’ı (CVE-2024-8176) yamaladı.
Bu düzeltmeler, kademeli arızaları önlemek için düşük seviyeli ağ oluşturma ve dosya işleme bileşenlerinin yeniden inşasını gerektiriyordu.
Sandbox kaçar ve gizlilik bypass
Apple’ın uygulaması Sandbox’a güvenilmeyen işlemleri izole etmek için tasarlanmış birden fazla muhafaza hatası var.
Karantina sistemi (CVE-2025-31244), kötü amaçlı uygulamaların indirme kısıtlamalarını atlamasına izin verirken, RemoteViewServices (CVE-2025-31258), saldırganların hizmet IPC mekanizmalarından yararlanarak sanal alanlardan tamamen kaçmasına izin verdi.
Networkextension’da, CVE-2025-31218 Açıkta kalan ağ bağlantısı ana bilgisayar adları, keşifte saldırganlara yardım eder.
Sandbox alt sisteminin kendisi iki kusur vardı: CVE-2025-31249 yetkisiz dosya erişimine izin verdi ve CVE-2025-31224 Uygulamaların durum kontrollerini manipüle ederek gizlilik tercihlerini atlamasına izin verin.
Özellikle, mobil cihaz hizmeti (CVE-2025-24274), kök imtiyazının artmasına izin veren bir giriş doğrulama boşluğuna sahipti ve SoftwareUpdate (CVE-2025-31259), yerel kullanıcıların uygunsuz sanitasyon yoluyla yönetici hakları kazanmalarına izin verdi.
Apple’ın koordineli yama sunumu, modern işletim sistemlerini hem hedeflenen istismarlara hem de fırsatçı saldırılara karşı güvence altına almanın artan karmaşıklığını vurgular.
İşletmeler ve bireysel kullanıcılar, verilen sistemler veri açığa çıkmasına ve fidye yazılımı saldırılarına karşı savunmasız kaldığı için acil güncellemelere öncelik vermelidir.
28 Alt Sistemi Kapsayan ve 47 Araştırmacı içeren düzeltmelerin genişliği MacOS’un gelişen tehdit manzarasını yansıtıyor.
Gelecekteki güncellemeler, sıfır günlük sömürü kalıplarını önleyici olarak işaretlemek için makine öğrenimi tabanlı anomali tespitinin daha derin entegrasyonunu gerektirebilir.
Find this News Interesting! Follow us on Google News, LinkedIn, & X to Get Instant Updates!