Trusted Design

CVE-2025-24085 の詳細

CVEの情報

説明:
A use after free issue was addressed with improved memory management. This issue is fixed in visionOS 2.3, iOS 18.3 and iPadOS 18.3, macOS Sequoia 15.3, watchOS 11.3, tvOS 18.3. A malicious application may be able to elevate privileges. Apple is aware of a report that this issue may have been actively exploited against versions of iOS before iOS 17.2.

CVE更新日: 2025-01-27 22:15:14.990000

CVSSバージョン: 3.1

CVSSスコア: 10.0

KEVの情報

KEV更新日: 2025-01-29

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.175100000

EPSS更新日: 2026-10-19 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2025-24085について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2025-24085は、Appleのマルチメディアスタック（Core Mediaおよび関連コンポーネント）におけるメモリ管理の欠陥（Use-After-Free）です。この脆弱性は、オブジェクトのライフタイムが適切に処理されず、参照がまだ存在している間にメモリが解放されることによって引き起こされます。これにより、解放されたメモリが攻撃者によって制御されたデータで置き換えられ、特権昇格を伴うコード実行が可能になる可能性があります。Appleは、iOS 17.2より前のバージョンでこの問題が悪用されたという報告を認識しています。

1.1 影響

この脆弱性が悪用されると、悪意のあるアプリケーションが特権を昇格させ、デバイスの完全な制御、データ漏洩、およびアプリケーションまたはシステムの不安定化を引き起こす可能性があります。具体的には、機密性、完全性、可用性の高い影響をもたらします。

1.2 深刻度

CVE-2025-24085の深刻度は、CVSSv3ベーススコア7.8（High）と報告されています。TenableおよびOpenCVEではCVSSv3ベーススコア10（Critical）と評価されています。また、EPSSスコアは17.51%であり、30日以内に悪用される可能性が比較的高いことを示しています。この脆弱性はCISAのKnown Exploited Vulnerabilities (KEV) カタログに追加されており、積極的に悪用されていることが確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

CVE-2025-24085は、以下のAppleオペレーティングシステムおよびバージョンに影響を与えます。

  • iOS: 18.3より前のバージョン (特にiOS 17.2より前のバージョンで積極的に悪用された報告があります)
  • iPadOS: 18.3より前のバージョン
  • macOS Sequoia: 15.3より前のバージョン
  • watchOS: 11.3より前のバージョン
  • tvOS: 18.3より前のバージョン
  • visionOS: 2.3より前のバージョン

修正済みバージョン: この問題は以下のバージョンで修正されています。

  • iOS 18.3およびiPadOS 18.3
  • iPadOS 17.7.6
  • macOS Sequoia 15.3
  • macOS Sonoma 14.7.5
  • macOS Ventura 13.7.5
  • watchOS 11.3
  • tvOS 18.3
  • visionOS 2.3

2.2 影響を受ける設定

特定の「設定」に影響を受けるという情報については、詳細な記述は見当たりませんでした。この脆弱性は、AppleのCore Mediaフレームワーク内のメモリ管理の欠陥に起因するため、特に設定に依存するものではなく、影響を受けるOSバージョンを実行しているデバイス全般が対象となります。ただし、信頼できないメディアの処理や、信頼できないソースからのアプリケーションのインストールは、この脆弱性を悪用されるリスクを高めます。

3. 影響を受けた時の兆候

CVE-2025-24085の悪用による兆候としては、以下の点が挙げられます。

  • 異常なアプリケーションの動作やクラッシュ
  • 特権昇格の試みの検出
  • 悪意のあるアプリケーションが解放されたメモリを使用してコードを実行しようとする
  • システムパフォーマンスの低下（不明）
  • 予期しないシステム終了（visionOS 2.3での影響として挙げられています）

4. 推奨対策

4.1 本対策

最も推奨される対策は、対象となるAppleデバイスを直ちに最新のOSバージョンにアップデートすることです。

具体的には以下のバージョンへのアップデートが推奨されます。

  • iOS/iPadOS 18.3以降 (またはiPadOS 17.7.6以降)
  • macOS Sequoia 15.3以降 (またはmacOS Sonoma 14.7.5以降、macOS Ventura 13.7.5以降)
  • watchOS 11.3以降
  • tvOS 18.3以降
  • visionOS 2.3以降

CISAは、米国政府機関に対し、2025年2月19日までにすべての脆弱なデバイスをパッチ適用するよう要求しています。

4.2 暫定回避策（緩和策）

直ちにパッチを適用できない場合、以下の暫定的な回避策が考えられます。

  • 信頼できないソースからのアプリケーションのインストールを避ける。
  • 信頼できないメディアファイルを開かない。
  • すべてのAppleデバイスで、迅速な修正を確実にするためにパッチポリシーを更新し、すべてのデバイスが更新されているかシステムを監視する。
  • 承認されていない、または疑わしいアプリケーションについてデバイスを監査し、明示的に承認または認識していないアプリケーションを削除する。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る