CVE-2025-24172

Apple macOS: Nieprawidłowe uprawnienia sandbox w podglądzie poczty (Mail)

CVSS 9.8v3.1pub. 2025-03-31upd. 2026-04-02

Podatność w Apple macOS powoduje, że opcja "Block All Remote Content" może nie być skutecznie egzekwowana dla wszystkich podglądów wiadomości e-mail. Pomimo krytycznej oceny CVSS 9.8, błąd dotyczy mechanizmu uprawnień sandbox i może prowadzić do niezamierzonego ładowania zdalnej zawartości.

▸ Pokaż oryginał (EN)

A permissions issue was addressed with additional sandbox restrictions. This issue is fixed in macOS Sequoia 15.4, macOS Sonoma 14.7.5, macOS Ventura 13.7.5. "Block All Remote Content" may not apply for all mail previews.

🤖 Analiza AI

Jak działa

Problem wynika z nieprawidłowej konfiguracji uprawnień (CWE-276) w mechanizmie sandbox aplikacji Mail. Gdy użytkownik włącza opcję "Block All Remote Content", mającą na celu zablokowanie ładowania zewnętrznych zasobów (np. obrazów śledzących) podczas podglądu wiadomości, ograniczenie to nie jest konsekwentnie stosowane we wszystkich przypadkach wyświetlania podglądu. Apple rozwiązało problem poprzez wprowadzenie dodatkowych restrykcji sandbox.

Skutki

Atakujący wysyłający spreparowaną wiadomość e-mail może ominąć ustawienie blokowania zdalnej zawartości, co może skutkować ujawnieniem adresu IP odbiorcy, śledzeniem aktywności użytkownika oraz potencjalnym narażeniem poufności danych. W zależności od załadowanej treści możliwe są dalsze ataki na integralność i dostępność systemu.

Mitygacja

Należy zaktualizować system do wersji: macOS Sequoia 15.4, macOS Sonoma 14.7.5 lub macOS Ventura 13.7.5. Aktualizacje dostępne są przez mechanizm Software Update systemu macOS oraz pod adresami wskazanymi w referencjach producenta (support.apple.com).

Kogo dotyczy

Apple macOS Sequoia w wersjach przed 15.4, Apple macOS Sonoma w wersjach przed 14.7.5, Apple macOS Ventura w wersjach przed 13.7.5.

Uwagi

Podatność zgłoszona na liście Full Disclosure w kwietniu 2025 (seclists.org/fulldisclosure/2025/Apr/8 oraz /Apr/10). Pomimo bardzo wysokiego wyniku CVSS 9.8, praktyczny wpływ wydaje się ograniczony do obejścia ochrony prywatności w aplikacji Mail, a nie do pełnego przejęcia systemu — administratorzy powinni priorytetowo traktować aktualizację systemów, na których przetwarzana jest wrażliwa korespondencja.