最近の脆弱性 › CVE-2025-24085

Apple Multiple Products のuse-after-freeの脆弱性（CVE-2025-24085）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2025-24085
製品	Apple Multiple Products
深刻度（CVSS）	10.0 緊急CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H`
KEVへの追加日	2025-01-29
米国政府機関の対応期限	2025-02-19
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-416

何が起きた

Apple の iOS、macOS などの CoreMedia という部品に、解放したメモリを使い続けてしまう弱点（解放後使用）が見つかりました。悪意のあるアプリに、権限を引き上げられるおそれがあります。Apple は、iOS 17.2 より前の iOS に対して悪用された可能性があるという報告を把握しているとしています。CISA も実際の悪用を確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

iPhone、iPad、Mac、Apple TV、Apple Vision Pro、Apple Watch を使っている人が対象です。修正は iOS 18.3 と iPadOS 18.3、iPadOS 17.7.6、macOS Sequoia 15.3、macOS Sonoma 14.7.5、macOS Ventura 13.7.5、tvOS 18.3、visionOS 2.3、watchOS 11.3 で入りました。

何をすればいい

お使いの機器を、上に挙げた修正の入ったバージョン以降に更新してください。iPhone や iPad は設定アプリの「ソフトウェアアップデート」から更新できます。Apple のセキュリティアップデートのページなど、公式の案内も確認してください。

やることチェックリスト

iPhone や iPad を iOS 18.3 以降に更新する
Mac を macOS Sequoia 15.3 以降に更新する
Apple Watch や Apple TV も更新する

用語メモ

解放後使用: 使い終わって返したメモリを、誤ってもう一度使ってしまう不具合です。攻撃に利用されることがあります。
権限: 機器の上で、何をしてよいかの許可の範囲です。

元データ（英語・CISA KEV より）

Apple Multiple Products Use-After-Free Vulnerability

概要

Apple iOS, macOS, and other Apple products contain a user-after-free vulnerability that could allow a malicious application to elevate privileges.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.