Apple产品多重漏洞可导致任意代码执行
MS-ISAC 通告编号：2025-042
发布日期：2025年4月17日
概述
在Apple产品中发现多个安全漏洞，其中最严重的漏洞可能允许攻击者执行任意代码。成功利用最严重的漏洞可使攻击者在已登录用户上下文中执行任意代码。根据用户的权限级别，攻击者可能安装程序、查看/修改/删除数据，或创建具有完全用户权限的新账户。系统权限配置较低的用户受影响程度可能低于具有管理权限的用户。
受影响系统
Apple已获知报告，表明这些漏洞可能已在针对iOS特定目标的极其复杂攻击中被利用。
风险等级
- 政府机构：大型和中型政府实体 - 高风险；小型政府实体 - 中风险
- 企业：大型和中型企业实体 - 高风险；小型企业实体 - 中风险 -家庭用户：低风险
技术细节
Apple产品中存在多个安全漏洞，其中最严重的可能允许任意代码执行。漏洞详情如下：
战术：执行（TA0002）
技术：利用客户端执行（T1203）：
-
处理恶意构造的媒体文件中的音频流可能导致代码执行。Apple已知悉报告，该问题可能已在针对iOS特定目标的极其复杂攻击中被利用。（CVE-2025-31200）
-
具有任意读写能力的攻击者可能能够绕过指针认证机制。Apple已知悉报告，该问题可能已在针对iOS特定目标的极其复杂攻击中被利用。（CVE-2025-31201）
成功利用这些最严重漏洞可使攻击者在已登录用户上下文中执行任意代码。根据用户的权限级别，攻击者可能安装程序、查看/修改/删除数据，或创建具有完全用户权限的新账户。
防护建议
我们建议采取以下措施：
软件更新与漏洞管理
- 立即应用更新：经过适当测试后，立即为易受攻击系统应用Apple提供的稳定通道更新（M1051：更新软件）
- 维护漏洞管理流程（保障措施7.1）：建立并维护企业资产的文档化漏洞管理流程，每年或发生重大企业变更时审查更新文档
- 建立修复流程（保障措施7.2）：建立基于风险的修复策略并文档化，每月或更频繁审查
- 执行外部资产漏洞扫描（保障措施7.6）：使用SCAP兼容的漏洞扫描工具每月或更频繁扫描外部暴露的企业资产
- 修复检测到的漏洞（保障措施7.7）：根据修复流程每月或更频繁通过流程和工具修复软件中的漏洞
权限管理
- 应用最小权限原则：对所有系统和服务应用最小权限原则，以非特权用户身份运行所有软件（无管理权限），减少成功攻击的影响（M1026：特权账户管理）
- 管理默认账户（保障措施4.7）：管理企业资产和软件上的默认账户（如root、administrator等预配置供应商账户），包括禁用或使其不可用
- 限制管理员权限（保障措施5.4）：将管理员权限限制在企业资产的专用管理员账户上，从用户的主要非特权账户进行常规计算活动
内容限制与过滤
- 限制特定网站使用，阻止下载/附件，阻止JavaScript，限制浏览器扩展等（M1021：限制基于Web的内容）
- 处理未经授权的软件（保障措施2.3）：确保从企业资产中移除未经授权的软件或获得文档化例外，每月或更频繁审查
- 允许列表授权脚本（保障措施2.7）：使用数字签名和版本控制等技术控制确保仅允许执行授权脚本，每半年或更频繁重新评估
- 维护网络URL过滤器（保障措施9.3）：强制执行和更新基于网络的URL过滤器，限制企业资产连接到潜在恶意或未批准的网站
- 阻止不必要的文件类型（保障措施9.6）：阻止尝试进入企业电子邮件网关的不必要文件类型
利用防护
- 启用防利用功能（保障措施10.5）：尽可能在企业资产和软件上启用防利用功能，如Microsoft®数据执行预防（DEP）、Windows® Defender Exploit Guard（WDEG）或Apple®系统完整性保护（SIP）和Gatekeeper™（M1050：利用防护）
执行预防
- 通过应用程序控制和/或脚本阻止阻止在系统上执行代码（M1038：执行预防）
- 允许列表授权软件（保障措施2.5）：使用应用程序允许列表等技术控制确保仅能执行或访问授权软件，每半年或更频繁重新评估
- 允许列表授权库（保障措施2.6）：使用技术控制确保仅允许授权软件库加载到系统进程中，每半年或更频繁重新评估
终端行为防护
- 使用功能防止可疑行为模式在终端系统上发生，包括可疑进程、文件、API调用等行为（M1040：终端行为预防）
- 部署基于主机的入侵检测解决方案（保障措施13.2）：在适当和/或支持的企业资产上部署基于主机的入侵检测解决方案
- 部署基于主机的入侵防御解决方案（保障措施13.7）：在适当和/或支持的企业资产上部署基于主机的入侵防御解决方案，如使用端点检测和响应（EDR）客户端或基于主机的IPS代理
渗透测试
- 执行应用程序渗透测试（保障措施16.13）：对关键应用程序进行身份验证渗透测试，比代码扫描和自动化安全测试更能发现业务逻辑漏洞
- 建立渗透测试程序（保障措施18.1）：建立和维护适合企业规模、复杂性和成熟度的渗透测试程序
- 执行定期外部渗透测试（保障措施18.2）：根据程序要求每年至少执行一次外部渗透测试
- 修复渗透测试发现（保障措施18.3）：根据企业的修复范围和优先级策略修复渗透测试发现