İOS’taki kritik bir güvenlik açığı, kötü amaçlı uygulamaların kalıcı olarak tek bir kod satırı ile iPhone’ları devre dışı bırakmasına izin verebilir.
CVE-2025-24091 atanan güvenlik açığı, sonsuz bir yeniden başlatma döngüsünü tetiklemek, etkili bir şekilde “tuğla” cihazları tetiklemek ve tam bir sistem geri yükleme gerektiren işletim sisteminin Darwin Bildirimler sisteminden yararlanır.
iOS Darwin Bildirim Güvenlik Açığı
Güvenlik açığı, CoreOS katmanı içinde süreçlerin sistem çapında olayları iletmesine izin veren düşük seviyeli bir mesajlaşma mekanizması olan Darwin bildirimlerini kullanır.
.png
)
NSNotificationCenter veya NSDISTIFICTEDNOTIFIFATIONCENTER gibi daha yaygın olarak bilinen bildirim sistemlerinden farklı olarak, Darwin bildirimleri Apple’ın işletim sistemlerinde temel düzeyde çalışan bir eski API’nın bir parçasıdır.
Güvenlik açığını keşfeden güvenlik araştırmacısı Guilherme Rambo, “Darwin bildirimleri, CoreOS katmanının bir parçası oldukları için daha da basittir. Apple’ın işletim sistemlerindeki süreçler arasında basit mesaj değişimi için düşük seviyeli bir mekanizma sağlıyorlar” dedi.
Kritik kusur, iOS’taki herhangi bir uygulamanın özel ayrıcalıklar veya yetkiler gerektirmeden hassas sistem düzeyinde Darwin bildirimleri gönderebilmesinden kaynaklanmaktadır.
En tehlikeli yönü, bu bildirimlerin bir “Devam Eden Geri Yükleme” moduna girmek de dahil olmak üzere güçlü sistem işlevlerini tetikleyebilmesiydi.
Tek satırlık istismar
İstismar oldukça basittir- sadece tek bir kod satırı güvenlik açığını tetikleyebilir:
Yürütüldüğünde, bu kod cihazı bir “Devam Eden Geri Yükleme” durumuna girmeye zorlar. Gerçek bir geri yükleme gerçekleşmediğinden, işlem kaçınılmaz olarak başarısız olur ve kullanıcının cihazı yeniden başlatmasını ister. Araştırmacı, bu istismarı bir widget uzantısında uygulayan “çok yönlü bir şekilde” adlı bir kavram kanıtı saldırısı yarattı.
Araştırmacı, “Widget uzantıları, iOS tarafından periyodik olarak arka planda uyandı” dedi.
“Widget kullanımı sistemde ne kadar yaygın olduğu için, bir widget uzantısı içeren yeni bir uygulama yüklendiğinde ve başlatıldığında, sistem widget uzantısını yürütmek için çok istekli”.
İstismar, bildirimi gönderdikten sonra tekrar tekrar çöken bir widget’a yerleştirerek, araştırmacı, her bir yeniden başlatmadan sonra tetikleyecek kalıcı bir saldırı yarattı ve cihazı kullanılamaz hale getiren sonsuz bir döngü oluşturdu.
| Risk faktörleri | Detaylar |
| Etkilenen ürünler | iOS (iOS/iPados 18.3’ten önce sürümleri çalışan iPhone’lar ve iPad’ler) |
| Darbe | Hizmet Reddi (DOS) |
| Önkoşuldan istismar | Herhangi bir kum havuzu uygulaması veya widget uzantısı istismar tetikleyebilir; Özel ayrıcalıklara gerek yok |
| CVSS 3.1 puanı | Yüksek |
Hafifletme
Apple, hassas Darwin bildirimleri için yeni bir yetki sistemi uygulayarak iOS 18.3’teki güvenlik açığını ele aldı. Araştırmacıya 17.500 dolarlık bir hata ödülünü aldı.
Özellikle, sistem bildirimleri artık “com.apple.private.resrestict-post” önekini gerektiriyor. ve gönderme süreçleri, “com.apple.private.darwin-notification.restrict-post şeklinde kısıtlı haklara sahip olmalıdır.
Bu, Apple’ın sistemlerindeki Darwin ile ilgili ilk güvenlik açığı değil. Daha önce, Kaspersky Lab, uzak saldırganların özel olarak hazırlanmış ağ paketleri aracılığıyla hizmet saldırılarını başlatmasına izin verebilecek bir “Darwin Nuke” güvenlik açığı tespit etti.
Tüm iPhone kullanıcılarına hemen iOS 18.3 veya daha geç güncellemeleri tavsiye edilir. Daha önceki sürümleri çalıştıran cihazlar, App Store veya diğer dağıtım yöntemleri aracılığıyla mevcut görünüşte masum uygulamalar veya widget’lar aracılığıyla dağıtılabilen bu saldırıya karşı savunmasız kalır.
Dava, mobil işletim sistemlerinde devam eden güvenlik zorluklarını vurgulamaktadır, burada basit ve gözden kaçan eski API’ler bile uygunsuz bir şekilde güvence altına alındığında önemli riskler oluşturabilir.
SOC ve DFIR ekiplerinden misiniz? -Kötü amaçlı yazılım olaylarını analiz edin ve herhangi biriyle canlı erişim alın.Run -> Şimdi ücretsiz başlayın.