Écriture hors limites lors de la décompression : une vulnérabilité découverte dans les produits Apple
Une preuve de concept détaillée et une analyse complète des vulnérabilités ont été publiées pour CVE-2025-43300. Cette faille critique d'exécution de code à distance sans clic affecte l'infrastructure de traitement d'images d'Apple. Elle a été découverte dans l'implémentation d'Apple de la décompression JPEG sans perte dans le RawCamera.bundle. Cette faille critique d'exécution de code à distance permet aux attaquants d'exécuter du code sans aucune interaction de l'utilisateur via des fichiers DNG (Digital Negative) conçus de manière malveillante.
Le mécanisme d’attaque exploite une incompatibilité entre les déclarations de métadonnées et les données d’image réelles. Plus précisément, la vulnérabilité se produit lorsqu'un fichier DNG déclare SamplesPerPixel = 2 dans son répertoire SubIFD mais ne contient qu'un seul composant dans le bloc SOF3 (Start of Frame 3) des données JPEG sans perte intégrées. Cette incohérence déclenche une condition d'écriture hors limites lors de la décompression et permet aux attaquants de corrompre la mémoire et potentiellement d'exécuter du code arbitraire.
La vulnérabilité exploite également les hypothèses fondamentales du moteur d'analyse TIFF/DNG d'Apple et son interaction avec la compression sans perte JPEG. Les fichiers DNG, basés sur la spécification de format d'image brute open source d'Adobe, utilisent la structure de conteneur TIFF avec des données d'image compressées sans perte JPEG intégrées dans les SubIFD.
Risques
- Exécution de code à distance (RCE)
- Corruption de la mémoire
- Écriture hors limites lors de la décompression
Systèmes affectés
- iOS 18.6.1 et versions antérieuresiPadOS 18.6.1 et versions antérieuresmacOS
- Sequoia 15.6.0 et versions antérieuresmacOS
- Sonoma 14.7.7 et versions antérieuresmacOS
- Ventura 13.7.7 et versions antérieuresiPadOS 17.7.9 et versions antérieures
Solutions
- Mettre à jour les systèmes affectés vers iOS 18.6.2+
Source : Cyber Security News
