PT-2025-13951 · Apple · Apple Macos

Publicado 2025-03-31 · Atualizado 2025-11-14 · CVE-2025-24277

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do macOS anteriores ao Ventura 13.7.5 Versões do macOS anteriores ao Sequoia 15.4 Versões do macOS anteriores ao Sonoma 14.7.5

Descrição Foi identificado um problema no tratamento de caminhos de diretório, especificamente um erro de parsing. Isso foi corrigido por meio de uma validação de caminho aprimorada. A exploração desta falha poderia permitir que um aplicativo obtivesse privilégios de root e realizasse um escape de sandbox. A vulnerabilidade foi discutida em relação a um escalonamento de privilégios local (LPE) afetando o processo de relatório de falhas.

Recomendações Atualize para a versão 13.7.5 ou posterior do macOS Ventura. Atualize para a versão 15.4 ou posterior do macOS Sequoia. Atualize para a versão 14.7.5 ou posterior do macOS Sonoma.

Correção

LPE

Incorrect Default Permissions

Enumeração de Fraquezas

CWE-276

Identificadores relacionados

CVE-2025-24277

Produtos afetados

Apple Macos

Referências · 19

• https://twitter.com/forensicdave/status/1978454739466465725 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-24277 · Nota de Segurança
• https://twitter.com/TweetThreatNews/status/1988338938184921178 · Publicação no Twitter
• https://twitter.com/Mu55sy/status/1978385872400556061 · Publicação no Twitter
• http://seclists.org/fulldisclosure/2025/Apr/8 · Nota
• https://twitter.com/J0hnnyXm4s/status/1989376837944742030 · Publicação no Twitter
• https://support.apple.com/en-us/122374 · Aviso do Fabricante
• https://twitter.com/theevilbit/status/1966498718296781037 · Publicação no Twitter
• https://twitter.com/theevilbit/status/1978411707467759887 · Publicação no Twitter
• https://twitter.com/gergely_kalman/status/1906774982241169433 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-24277 · Aviso do Fabricante
• http://seclists.org/fulldisclosure/2025/Apr/9 · Nota
• https://twitter.com/Dinosn/status/1988744703790199205 · Publicação no Twitter
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2025-24277 · Nota
• https://support.apple.com/en-us/122373 · Aviso do Fabricante