CVE-2025-43200: iCloud-Link-Angriff auf Apple-Geräte entdeckt

Table of Contents

Am 16. Juni 2025 wurde eine neue Sicherheitslücke mit der Kennung CVE-2025-43200 und der EUVD-ID EUVD-2025-18428 veröffentlicht. Die Schwachstelle betrifft zahlreiche Apple-Betriebssysteme, darunter iOS, macOS, watchOS, iPadOS und visionOS. Obwohl der CVSS-Basisscore bei „nur“ 4.8 liegt, stuft das US-Cybersicherheitsamt CISA die Schwachstelle aufgrund ihres Einsatzes in gezielten Angriffen als kritisch genug ein, um sie in den Known Exploited Vulnerabilities Catalog (KEV) aufzunehmen.

Technische Details zur Schwachstelle

  • CVE-ID: CVE-2025-43200
  • EUVD-ID: EUVD-2025-18428
  • Schweregrad (CVSS 3.1): 4.8 (Mittel)
  • Exploitability (EPSS Score): 0.95 %
  • Angriffsvektor: Netzwerk (AV:N)
  • Komplexität des Angriffs: Hoch (AC:H)
  • Erforderliche Rechte: Keine (PR:N)
  • Benutzereingriff: Nicht erforderlich (UI:N)
  • Auswirkung auf Vertraulichkeit und Integrität: Teilweise (C:L/I:L)
  • Verfügbarkeit: Nicht betroffen (A:N)
  • Veröffentlichung: 16. Juni 2025
  • Letztes Update: 18. Juni 2025

Die Schwachstelle liegt in einem logischen Fehler, der beim Verarbeiten speziell präparierter Fotos oder Videos über einen iCloud-Link ausgenutzt werden kann. Ein Angreifer könnte ohne Interaktion des Nutzers manipulierte Inhalte versenden, die beim automatisierten Verarbeiten auf dem Gerät ausgenutzt werden – z. B. durch Vorschaufunktionen oder Hintergrundprozesse. Laut Apple wurde die Schwachstelle bereits in einem hochentwickelten Angriff auf gezielt ausgewählte Individuen ausgenutzt.

Die Schwachstelle wurde mit verbesserten Prüfmechanismen in folgenden Versionen behoben:

  • watchOS 11.3.1
  • macOS Ventura 13.7.4
  • macOS Sonoma 14.7.4
  • macOS Sequoia 15.3.1
  • iOS / iPadOS 15.8.4, 16.7.11, 17.7.5, 18.3.1
  • visionOS 2.3.1

Apple hat mehrere Support-Artikel zur Verfügung gestellt, in denen Details zu den einzelnen Patches aufgeführt sind:

Tags :

Related Posts

Kritische Lücke CVE-2025-49796 in libxml2 führt zu Denial of Service

In der vergangenen Woche wurde die Sicherheitslücke CVE-2025-49796 in der weit verbreiteten XML-Bibliothek libxml2 öffentlich vergeben. Verantwortlich dafür ist eine Type-Confusion in der Schematron-Komponente, die während der Verarbeitung von sch:name-Elementen zu einem ungültigen Namespace-Pointer (0xffffffffffffffff) und damit zu undefiniertem Verhalten bis hin zu einem Denial of Service führen kann. Der Schweregrad wird mit einem CVSS 4.0-Wert von 8,7 angegeben. Entdeckt wurde die Schwachstelle von Nikita Sveshnikov von Positive Technologies; zeroday.pt hatte das Ticket vor rund einer Woche eröffnet. Als kurzfristige Gegenmaßnahme lässt sich in der Funktion xmlSchematronFormatReport eine zusätzliche Prüfung auf den fehlerhaften Pointer einbauen, bis ein offizieller Patch der ungewarteten Schematron-Codebasis vorliegt.

Read More

Kritische WebDAV Schwachstelle bedroht Windows Systeme

Anfang Juni 2025 veröffentlichte Checkpoint Security einen Exploit der WebDAV Schnittstelle, der zur Remote Code Execution genutzt werden kann. Im Kern beruht die Schwachstelle CVE-2025-33053 auf einer Lücke in der Art und Weise, wie Windows über eine WebDAV-URL den Arbeits­verzeichnis­pfad für einen Aufruf eines legitimen Diagnostics-Tools (iediagcmd.exe) manipulieren lässt. Stealth Falcon nutzt diese Schwachstelle in drei Schritten aus:

Read More

SMB: Kerberos Reflective Relay Angriff führt zu Privilege Esacalation in Windows Netzwerken

Hohe Gefahr durch Windows SMB – CVE-2025-33073 ermöglicht Privilegienerweiterung über das Netzwerk, mit Hilfe der Reflective Kerberos Relay Angriffstechnik. Ein autorisierter Angreifer kann aufgrund unzureichender Zugriffskontrolle in SMB seine Rechte ausweiten. Die NVD klassifiziert die Schwachstelle mit CVSS 3.1 Score 8.8 (AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) als High Severity (nvd.nist.gov). Microsoft veröffentlichte die Behebung im Juni-Patchday am 10. Juni 2025.

Read More