CVE-2025-24197

چکیده

آسیب‌پذیری در کامپوننت Spotlight سیستم‌عامل macOS، ناشی از یک اشکال منطقی (logic issue) در مکانیزم بررسی دسترسی‌ها است. در نتیجه، یک اپلیکیشن می‌تواند بدون مجوز مناسب به داده‌های حساس کاربر دسترسی پیدا کند.

توضیحات

آسیب‌پذیری CVE-2025-24197 در کامپوننت Spotlight (ابزار جستجوی داخلی macOS برای یافتن فایل‌ها، برنامه‌ها و محتواها) سیستم‌عامل macOS شناسایی شده است. این ضعف ناشی از کنترل دسترسی نامناسب است و مطابق با CWE-284 طبقه‌بندی می‌شود. به عبارت دیگر، یک اپلیکیشن مخرب می‌تواند از اشکال منطقی در Spotlight بهره‌برداری کند تا به داده‌های حساس کاربر مانند فایل‌های شخصی یا اطلاعات ذخیره‌شده دسترسی یابد.

مهاجم می‌تواند با ابزارهای خودکار مانند اپلیکیشن‌های مخرب یا اسکریپت‌های Swift، به‌صورت لوکال، با تعامل کاربر و بدون نیاز به دسترسی بالا، داده‌های حساس را استخراج کند. برای مثال، اپلیکیشن ممکن است با سوءاستفاده از APIهای Spotlight، به اطلاعاتی مانند ایمیل‌ها، اسناد یا تاریخچه جستجو دسترسی پیدا کند.

پیامد اصلی این آسیب‌پذیری نقض محرمانگی با افشای داده‌های حساس کاربر است. محصولات آسیب‌پذیر شامل macOS Sequoia پیش از 15.7، macOS Sonoma پیش از 14.8 و macOS Tahoe پیش از 26 هستند. اپل این ضعف را با بهبود بررسی‌های منطقی (Improved Checks) در به‌روزرسانی‌های امنیتی سپتامبر 2025 پچ کرده است.

CVSS

لیست محصولات آسیب پذیر

لیست محصولات بروز شده

استفاده محصول در ایران

در این جدول، تعداد صفحات ایندکس‌شده در گوگل با دامنه .ir که macOS Sequoia، macOS Sonoma و macOS Tahoe را ذکر کرده اند، ثبت شده است. این داده صرفاً برای برآورد تقریبی حضور محصولات در وب ایران استفاده شده و نمایانگر میزان نصب دقیق و استفاده واقعی نیست.

نتیجه گیری

این آسیب‌پذیری با شدت متوسط در کامپوننت Spotlight سیستم عامل macOS امکان دسترسی غیرمجاز اپلیکیشن‌ها به داده‌های حساس کاربر را فراهم می‌کند و می‌تواند منجر به افشای اطلاعات شود. با توجه به انتشار پچ رسمی، اجرای اقدامات زیر برای جلوگیری از بهره‌برداری و کاهش ریسک ضروری است:

• به‌روزرسانی فوری: سیستم‌های macOS را به نسخه‌های Sequoia 15.7، Sonoma 14.8 و Tahoe 26 و بالاتر به‌روزرسانی کنید.
• راهکارهای کاهش ریسک (Mitigations): از نصب اپلیکیشن‌های غیرمعتبر خودداری کنید، Gatekeeper را برای محدود کردن اپلیکیشن‌های بدون امضا فعال نگه دارید و از App Sandbox برای ایزوله‌سازی اپلیکیشن‌ها استفاده کنید. همچنین، از ابزارهایی مانند Little Snitch برای فیلتر درخواست‌های Spotlight بهره ببرید.
• محدودسازی دسترسی: اصل حداقل دسترسی (Least Privilege) را برای کاربران اعمال کرده، احراز هویت دو مرحله‌ای (2FA) را برای Apple ID فعال کنید و دسترسی به داده‌های حساس را با FileVault (رمزنگاری دیسک) و رمزهای قوی محدود نمایید.
• نظارت بر لاگ‌ها: لاگ‌های Spotlight و فعالیت اپلیکیشن‌ها را با ابزارهایی مانند Apple Console یا Splunk مانیتور کنید و از سیستم‌های SIEM برای شناسایی دسترسی‌های مشکوک به داده‌ها استفاده نمایید.
• ایزوله‌سازی محیط: اپلیکیشن‌های شخص ثالث را در محیط‌های مجازی مانند Parallels یا VMware اجرا کنید و سیستم‌های حساس را در شبکه‌های جداگانه (Network Segmentation) قرار دهید.
• اسکن و تست امنیتی: سیستم را با ابزارهایی مانند Apple Security Research Device یا Nessus برای اسکن آسیب‌پذیری‌ها بررسی کنید و تست‌های نفوذ روی سناریوهای دسترسی غیرمجاز به Spotlight انجام دهید.
• آموزش: کاربران و مدیران را در مورد ریسک‌های اپلیکیشن‌های مخرب، اهمیت به‌روزرسانی‌های امنیتی و تشخیص دسترسی‌های غیرمجاز آموزش دهید.

اجرای این اقدامات، ریسک افشای داده‌های حساس و حملات لوکال را به حداقل می‌رساند و امنیت سیستم‌های macOS را در برابر تهدیدات تقویت می‌کند.

امکان استفاده در تاکتیک های Mitre Attack

Initial Access (TA0001)
اپلیکیشن مخرب محلی یا بسته مخرب می‌تواند از طریق فراخوانی API های Spotlight یا نصب یک برنامه با مجوز کاربری عادی وارد فرایند تعامل با سرویس جستجو شود و با دورزدن کنترل‌های دسترسی سطح ورود به داده‌های نمایه‌شده دسترسی پیدا کند

Defense Evasion (TA0005)
مهاجم می‌تواند با استفاده از API های مشروع Spotlight و رفتارهای معمول سیستم فعالیت خود را با ترافیک قانونی مخلوط کند و شناسایی را دشوار سازد

Discovery (TA0007)
مهاجم می‌تواند با پرس‌وجوهای هدفمند ساختار فایل‌ها، متادیتا و پروفایل‌های جستجو را شناسایی کند و بردارهای ثانویه را طراحی نماید

Collection (TA0009)
مهاجم می‌تواند نتایج جستجو، محتویات فایل‌ها و متادیتای حساس را جمع‌آوری و ذخیره نماید که برای تحلیل‌های بعدی و توسعه اکسپلویت مورد استفاده قرار می‌گیرد

Impact (TA0040)
پیامد اصلی نقض محرمانگی است — افشای ایمیل‌ها، اسناد و تاریخچه جستجو که می‌تواند حریم خصوصی و دارایی اطلاعاتی کاربر را صدمه‌دار کند

منابع

1. https://www.cve.org/CVERecord?id=CVE-2025-24197
2. https://www.cvedetails.com/cve/CVE-2025-24197/
3. https://vulmon.com/vulnerabilitydetails?qid=CVE-2025-24197
4. https://vuldb.com/?id.324305
5. https://support.apple.com/en-us/125112
6. https://support.apple.com/en-us/125110
7. https://support.apple.com/en-us/125111
8. https://nvd.nist.gov/vuln/detail/CVE-2025-24197
9. https://cwe.mitre.org/data/definitions/284.html