Apple ha lanzado actualizaciones de seguridad para abordar una vulnerabilidad crítica que permite la ejecución de código arbitrario. La brecha, identificada como CVE-2025-24085, se encuentra en el componente CoreMedia y podría permitir a una aplicación maliciosa instalada en un dispositivo elevar sus privilegios.
Vulnerabilidad explotada activamente
La vulnerabilidad está relacionada con la forma en que el sistema operativo maneja las imágenes, específicamente en el subsistema «ImageIO». Este error podría ser aprovechado mediante el envío de una imagen especialmente diseñada a un dispositivo vulnerable, permitiendo que un atacante ejecute código malicioso con los mismos privilegios que el usuario afectado. Apple ha confirmado que esta vulnerabilidad puede haber sido explotada en versiones de iOS anteriores a iOS 17.2.
Actualizaciones disponibles
Las actualizaciones correspondientes se han implementado en las siguientes versiones y dispositivos: iOS 18.3 y iPadOS 18.3, que incluyen iPhone XS y modelos posteriores, iPad Pro de 13 pulgadas, iPad Pro de 12,9 pulgadas de 3ª generación y modelos posteriores, iPad Pro de 11 pulgadas de 1ª generación y modelos posteriores, iPad Air de 3ª generación y modelos posteriores, iPad de 7ª generación y modelos posteriores, y iPad mini de 5ª generación y modelos posteriores.
- iOS 18.3 and iPadOS 18.3 – iPhone XS and later, iPad Pro 13-inch, iPad Pro 12.9-inch 3rd generation and later, iPad Pro 11-inch 1st generation and later, iPad Air 3rd generation and later, iPad 7th generation and later, and iPad mini 5th generation and later
- macOS Sequoia 15.3 – Macs running macOS Sequoia
- tvOS 18.3 – Apple TV HD and Apple TV 4K (all models)
- visionOS 2.3 – Apple Vision Pro
- watchOS 11.3 – Apple Watch Series 6 and late
Además de esta vulnerabilidad, las actualizaciones abordan otras cinco brechas de seguridad en AirPlay, reportadas por el investigador de seguridad Uri Katz de Oligo Security, que podrían ser explotadas para causar terminaciones inesperadas del sistema, denegaciones de servicio (DoS) o ejecución arbitraria de código bajo ciertas condiciones.
Vulnerabilidades reportadas por Google
El Grupo de Análisis de Amenazas (TAG) de Google ha informado sobre tres vulnerabilidades en el componente CoreAudio (CVE-2025-24160, CVE-2025-24161 y CVE-2025-24163) que podrían provocar la terminación inesperada de aplicaciones al procesar archivos especificamente diseñados.
Apple ha abordado esta vulnerabilidad con su actualización de seguridad más reciente. Se recomienda a todos los usuarios actualizar sus dispositivos a la última versión de iOS, iPadOS o macOS para protegerse de posibles ataques. Los parches han sido implementados en iOS 16.5, iPadOS 16.5 y macOS 13.4. Esta actualización soluciona la vulnerabilidad y refuerza la seguridad de los dispositivos de Apple.
Si bien la vulnerabilidad ya está siendo explotada activamente, Apple no ha divulgado detalles sobre incidentes específicos o la magnitud de los ataques. Sin embargo, los usuarios de dispositivos Apple deben ser cautelosos al abrir imágenes recibidas a través de canales no verificados, como correos electrónicos o enlaces desconocidos, hasta que se apliquen los parches de seguridad.
Los usuarios deben proceder a realizar la actualización de sus dispositivos cuanto antes. Apple ha destacado que la solución fue desarrollada tras recibir informes de la vulnerabilidad, lo que demuestra la importancia de las actualizaciones de seguridad en la protección contra amenazas emergentes.