CVE-2025-43362

چکیده

آسیب‌پذیری بحرانی افشای اطلاعات حساس در فریم‌ورک LaunchServices در iOS و iPadOS به برنامه‌ها اجازه می‌دهد بدون اجازه کاربر کلیدهای فشرده‌شده کیبورد (keystrokes) را به صورت بلادرنگ نظارت و ثبت کنند. به این معناکه ورودی های حساس مانند رمزهای عبور و متن ها در دسترس برنامه قرار می گیرند.

توضیحات

آسیب‌پذیری CVE-2025-43362 در فریم‌ورک LaunchServices (فریم‌ورک اپل برای مدیریت اجرا و تعامل برنامه‌ها) در iOS و iPadOS، ناشی از افشای اطلاعات حساس به عامل غیر مجاز مطابق با CWE-200 است. این ضعف به دلیل بررسی‌های ناکافی در LaunchServices ایجاد شده است که به برنامه‌های مخرب اجازه می‌دهد رویدادهای ورودی کیبورد (keyboard input events) را بدون رضایت کاربر نظارت و ثبت کنند. در نتیجه، مهاجم می‌تواند محتوای تایپ‌شده توسط کاربر، مانند رمزهای عبور، شماره کارت های اعتباری یا پیام‌های خصوصی را به طور پنهان استخراج کند.

پیامدهای این آسیب‌پذیری شامل تأثیر بالا بر محرمانگی با افشای داده‌های حساس کیبورد، یکپارچگی با دستکاری احتمالی ورودی‌ها و در دسترس‌پذیری با ایجاد اختلال در حریم خصوصی کلی سیستم است. بهره‌برداری از این ضعف به‌سادگی قابل خودکارسازی است؛ مهاجم می‌تواند با اسکریپت‌ها یا ابزارهای خودکار، از راه دور، بدون تعامل کاربر و بدون نیاز به دسترسی اضافی، برنامه‌ای مخرب را طراحی کند که از طریق LaunchServices به ثبت رویدادهای کیبورد بپردازد و داده‌های تایپ‌شده در فیلدهای ورود مانند رمز عبور، اطلاعات حساس و لاگ‌های کامل نشست های کاربر را به سرور مهاجم ارسال نماید. فعال‌سازی این حمله مستلزم نصب برنامه مخرب روی دستگاه و استفاده از کیبورد نرم‌افزاری یا سخت افزاری است.

اپل این آسیب پذیری را در به‌روزرسانی‌های امنیتی سپتامبر 2025 (18.7 برای دستگاه‌های قدیمی‌تر و 26 برای مدل‌های جدیدتر) با بهبود بررسی ها در LaunchServices پچ کرده است.

CVSS

لیست محصولات آسیب پذیر

لیست محصولات بروز شده

استفاده محصول در ایران

در این جدول، تعداد صفحات ایندکس‌شده در گوگل با دامنه .ir که iOS و iPadOS را ذکر کرده اند، ثبت شده است. این داده صرفاً برای برآورد تقریبی حضور محصولات در وب ایران استفاده شده و نمایانگر میزان نصب دقیق و استفاده واقعی نیست.

نتیجه گیری

این آسیب‌پذیری با شدت بحرانی در iOS و iPadOS، ریسک نظارت پنهان بر کلیدهای فشرده شده کیبورد بدون مجوز کاربر را افزایش می‌دهد و می‌تواند منجر به سرقت گسترده اطلاعات حساس و نقض حریم خصوصی شود. با توجه به انتشار پچ‌های امنیتی توسط اپل، اجرای اقدامات زیر برای جلوگیری از بهره‌برداری و کاهش سطح ریسک ضروری است:

• به‌روزرسانی فوری: تمام دستگاه‌های iOS و iPadOS را به نسخه 18.7 برای دستگاه‌های قدیمی‌تر و 26 برای مدل‌های جدیدتر به روزرسانی کنید. این به روزرسانی شامل بهبود بررسی ها در LaunchServices است.
• محدودسازی مجوزهای برنامه: از App Privacy Report و Permission Manager برای نظارت بر دسترسی برنامه‌ها به ورودی‌های کیبورد استفاده کنید و برنامه‌های مشکوک را حذف نمایید؛ همچنین، نصب جانبی برنامه ها را غیرفعال کنید.
• نظارت و آموزش: کاربران را درباره ریسک برنامه‌های مخرب با دسترسی به کیبورد آموزش دهید و از راهکارهای مدیریت دستگاه موبایل (MDM) مانند Apple Business Manager یا Jamf برای نظارت بر به‌روزرسانی‌ها و عملکرد برنامه ها استفاده کنید.
• تست امنیتی: دستگاه‌ها را با ابزارهایی مانند Frida یا Objection برای شناسایی رویدادهای کیبورد در برنامه‌ها بررسی کنید و از اجرای سند باکس اپلیکیشن اطمینان حاصل نمایید.
• ریست/بازنشانی Session و invalidation توکن‌ها برای دستگاه‌های مشکوک: حتی اگر keylogger داده‌ای بیرون فرستاده باشد، ریست توکن‌ها به سرعت کار مهاجم را بی‌اثر می‌کند.
• ایزوله‌سازی: ورودی‌های حساس (مانند فیلدهای رمز عبور) را با کیبوردهای امن مانند 1Password یا Bitwarden مدیریت کنید و دسترسی برنامه‌ها به داده‌های سیستم را محدود سازید.

اجرای این اقدامات، به‌ویژه به‌روزرسانی سریع و مدیریت مجوزها، ریسک بهره‌برداری از این آسیب‌پذیری را به‌طور چشمگیری کاهش داده و امنیت ورودی‌های کاربر در اکوسیستم iOS و iPadOS را به‌صورت قابل‌توجهی افزایش می‌دهد.

امکان استفاده در تاکتیک های Mitre Attack

Initial Access (TA0001)
مهاجم با توزیع یا نصب برنامه مخرب sideload یا اپ با مجوزهای فریب‌دهنده روی دستگاه هدف، یا با زبانۀ نصب کردن کیبورد جانبی/extension که از LaunchServices سوءاستفاده می‌کند، ورود اولیه را تأمین می‌کند.

Credential Access (TA0006)
کلیدهای فشرده‌شده شامل رمزها، توکن‌ها و داده‌های حساس است؛ مهاجم می‌تواند این داده‌ها بخواند و از آن‌ها برای ورود به حساب‌ها یا replay استفاده کند

Privilege Escalation (TA0004)
گذرواژه‌های دزدیده‌شده می‌توانند راه را برای Privilege Escalation باز کنند اگر آن ‌credential دسترسی سطح‌بالا مثلاً admin یا سرویس با امتیاز باشد یا بتوان از آن برای گرفتن توکن/جلسه‌ای استفاده کرد که سطح دسترسی را بالا می‌برد.

Collection (TA0009)
تمام رویدادهای کیبورد، clipboard و ممکن است metadata فیلدهای واردشده به‌صورت ساخت‌یافته جمع‌آوری شود و در قالب لاگ/فایل آماده خروج گردد.

Exfiltration (TA0010)
داده‌های ضبط‌شده می‌تواند از طریق POSTهای رمزگذاری‌شده، image beacons یا کانال‌های DNS به سرور مهاجم ارسال شود

Defense Evasion (TA0005)
مولفه مخرب ممکن است به‌صورت اپ مشروع یا کیبورد مفید استتار کند، payloadها را obfuscate کند یا data staging انجام دهد تا از شناسایی بگریزد

Lateral Movement (TA0008)
توکن‌ها و credentialهای سرقت‌شده می‌توانند برای دسترسی به سرویس‌های همگام‌شده کاربر (cloud accounts، ایمیل، اپ‌های بانکی) مورد استفاده قرار گیرند و مهاجم را به منابع دیگر برسانند؛ کاهش: اعمال conditional access، چک‌های device-binding برای توکن‌ها و بازنشانی نشست‌ها پس از تشخیص رفتار مشکوک.

Impact
این آسیب‌پذیری منجر به افشای کامل اطلاعات حساس ورودی (C:H) ، امکان takeover حساب‌ها (I:H) و در مواردی اجرا یا اجباری‌سازی عملیات از طرف کاربر A:H (جزئی) می‌شود.

منابع

1. https://www.cve.org/CVERecord?id=CVE-2025-43362
2. https://www.cvedetails.com/cve/CVE-2025-43362/
3. https://support.apple.com/en-us/125108
4. https://support.apple.com/en-us/125109
5. https://vulmon.com/vulnerabilitydetails?qid=CVE-2025-43362
6. https://vuldb.com/?id.324347
7. http://seclists.org/fulldisclosure/2025/Sep/50
8. http://seclists.org/fulldisclosure/2025/Sep/49
9. https://nvd.nist.gov/vuln/detail/cve-2025-43362
10. https://cwe.mitre.org/data/definitions/200.html