È stata resa pubblica un’analisi approfondita e un esempio di proof-of-concept riguardante la vulnerabilità CVE-2025-43300, una falla di sicurezza critica che consente l’esecuzione remota di codice senza necessità di clic, presente nell’infrastruttura di elaborazione delle immagini di Apple.

Si tratta di una falla di sicurezza, individuata nella realizzazione della decompressione JPEG Lossless da parte di Apple all’interno del bundle RawCamera.bundle, permette ai malintenzionati di eseguire codice arbitrario senza necessità di interazione con l’utente, attraverso file DNG (Digital Negative) appositamente creati per essere dannosi.

La vulnerabilità sfrutta i presupposti fondamentali del motore di analisi TIFF/DNG di Apple e la sua interazione con la compressione JPEG lossless. I file DNG, basati sulle specifiche del formato immagine raw open source di Adobe, utilizzano la struttura del contenitore TIFF con dati di immagine compressi senza perdita di dati JPEG incorporati nei SubIFD. Il PoC richiede modifiche minime a un file DNG legittimo, il che la rende particolarmente pericolosa.

Nello specifico, la vulnerabilità si verifica quando un file DNG dichiara SamplesPerPixel = 2 nella sua directory SubIFD ma contiene solo 1 componente nel blocco SOF3 (Start of Frame 3) dei dati JPEG lossless incorporati. Il meccanismo di attacco sfrutta una discrepanza tra le dichiarazioni dei metadati e i dati effettivi dell’immagine. Il ricercatore b1n4r1b01 ha pubblicato un’analisi tecnica dettagliata e i passaggi di riproduzione, rivelando che il difetto deriva da una condizione di buffer overflow nella routine di decompressione JPEG lossless all’interno di RawCamera.bundle.

La vulnerabilità rappresenta una minaccia significativa per la sicurezza in quanto consente lo sfruttamento senza clic tramite il sistema di elaborazione automatica delle immagini di Apple. Gli aggressori devono solo modificare due byte specifici: cambiando l’offset 0x2FD00 da 01 a 02 (modificando SamplesPerPixel) e l’offset 0x3E40B da 02 a 01 (modificando il numero di componenti SOF3). Queste precise modifiche creano la discrepanza critica che innesca la vulnerabilità.

Il pacchetto RawCamera.bundle, che gestisce vari formati di immagini raw su iOS, non contiene informazioni sui simboli, rendendo difficile il reverse engineering. Tuttavia, il ricercatore fa notare che non tutti i file DNG con compressione JPEG lossless raggiungono il percorso del codice vulnerabile, il che richiede condizioni specifiche in linea con il campione proof-of-concept fornito. L’avviso di sicurezza di Apple riconosce cheCVE-2025-43300 è stato attivamente sfruttato in attacchi sofisticati rivolti a individui specifici, elevando questa vulnerabilità da teorica a strumento confermato di un attore di minaccia .

La natura zero-click lo rende particolarmente interessante per le operazioni di sorveglianza mirate, poiché le vittime non necessitano di alcuna interazione oltre alla ricezione del file dannoso. La vulnerabilità interessa diverse piattaforme Apple , tra cui iOS 18.6.1, iPadOS 18.6.1 e varie versioni di macOS. Ricordiamo che Apple ha rilasciato patch per iOS 18.6.2, iPadOS 18.6.2, macOS Sequoia 15.6.1 e versioni precedenti di macOS. Il ricercatore ha confermato che la proof-of-concept non causa crash su iOS 18.6.2, a indicare che la mitigazione è stata completata con successo.

L'articolo PoC Zero-Click Exploit su iPhone e Mac: come due byte è possibile compromettere l’ecosistema Apple proviene da il blog della sicurezza informatica.