CVE-2025-43496

چکیده

آسیب‌پذیری افشای اطلاعات خصوصی در اپلیکیشن Mail سیستم های iOS و iPadOS شناسایی شده است. این ضعف امنیتی حتی با غیرفعال بودن گزینه بارگذاری تصاویر از راه دور (Load Remote Images)، محتوای از راه دور را به صورت خودکار بارگذاری کرده و اطلاعات کاربر را در معرض ریسک قرار می‌دهد.

توضیحات

آسیب‌پذیری CVE-2025-43496 در اپلیکیشن Mail (کلاینت ایمیل پیش‌فرض iOS و iPadOS) از نوع افشای اطلاعات خصوصی به عامل غیرمجاز مطابق با CWE‑359 است. در این ضعف، مکانیزمِ جلوگیری از بارگذاری محتوای راه‌دور یعنی گزینه بارگذاری تصاویر از راه دور (Load Remote Images) به‌درستی اعمال نمی‌شود و در نتیجه محتوای میزبانی‌شده روی سرورهای ثالث حتی وقتی این گزینه غیرفعال است نیز بارگذاری (fetch) می‌شود؛ این عملکرد می‌تواند اطلاعات خصوصی کاربر را به صورت ناخواسته در اختیار شخص ثالث قرار دهد.

مهاجم می‌تواند ایمیل‌های فیشینگ یا هرزنامه حاوی تصاویر راه‌دور یا وب‌بیکن‌ها (beacons) ارسال کند؛ هنگامی که کاربر ایمیل را باز می‌کند، دستگاه به سرور مهاجم درخواست می‌فرستد و اطلاعاتی مانند آدرس IP (IP address)، رشته‌ی User‑Agent (اطلاعات مرورگر و دستگاه)، زمان باز شدن ایمیل و حتی نسخه سیستم‌عامل نمایان می‌شود. این داده‌ها می‌توانند برای ردیابی عملکرد کاربران (tracking)، شناسایی منحصر به فرد دستگاه (fingerprinting) یا جمع‌آوری الگوهای زمانیِ فعالیت مورد استفاده قرار گیرند.

بهره‌برداری از این ضعف بسیار سادگی قابل خودکارسازی است؛ مهاجم می‌تواند به‌صورت انبوه و از راه دور، بدون نیاز به احراز هویت، ایمیل‌های مخرب ارسال کند و با استفاده از اسکریپت‌ها یا ابزارهای اتوماتیک، عملکرد کاربران (مثلاً زمان باز کردن ایمیل) را ردیابی نماید. از منظر CVSS پیامد این آسیب‌پذیری بر یکپارچگی (Integrity) ثبت شده است، زیرا معیارهای CVSS عمدتاً بر تأثیر فنی و تغییر در داده‌ها یا عملکرد سیستم تمرکز دارند. با این حال، از منظر حریم خصوصی کاربران، اثر عملی این ضعف افشای اطلاعات شخصی و ردیابی است؛ بنابراین در گزارش‌های عملیاتی باید آن را به‌عنوان یک ریسک مربوط به محرمانگی نیز لحاظ کرد. این آسیب پذیری تنها در نسخه‌های پیش از 18.7.2 وجود دارد و با افزودن منطق کنترل اضافی (additional logic) پچ شده است.

CVSS

لیست محصولات آسیب پذیر

لیست محصولات بروز شده

استفاده محصول در ایران

در این جدول، تعداد صفحات ایندکس‌شده در گوگل با دامنه .ir که iOS و iPadOS را ذکر کرده اند، ثبت شده است. این داده صرفاً برای برآورد تقریبی حضور محصولات در وب ایران استفاده شده و نمایانگر میزان نصب دقیق و استفاده واقعی نیست.

نتیجه گیری

این آسیب‌پذیری با شدت بالا در اپلیکیشن Mail سیستم‌های iOS و iPadOS، تنظیمات حریم خصوصی کاربران را دور می‌زند و حتی با غیرفعال بودن گزینه بارگذاری تصاویر راه دور (Load Remote Images)، اجازه ردیابی از راه دور را می‌دهد. با توجه به انتشار پچ رسمی، اجرای اقدامات زیر برای پیشگیری از بهره‌برداری و کاهش ریسک ضروری است:

• به‌روزرسانی فوری: دستگاه‌های iOS وiPadOS را به نسخه 18.7.2 یا بالاتر به روزرسانی کنید. این به‌روزرسانی منطق اضافی (additional logic) برای اعمال صحیح تنظیمات بارگذاری محتوا اعمال می‌کند.
• تنظیمات حریم خصوصی: گزینه بارگذاری تصاویر راه دور (Load Remote Images) را غیرفعال کرده و از ویژگی مسدودسازی همه محتوای راه دور (Block All Remote Content) در Mail استفاده نمایید. همچنین Private Relay iCloud را فعال سازید تا IP مخفی شود.
• استفاده از کلاینت‌های جایگزین: از اپلیکیشن‌های ایمیل شخص ثالث مانند Outlook یا Gmail که ویژگی‌های امنیتی قوی‌تر مانند پروکسی تصاویر (Proxy Images) دارند، بهره ببرید.

اجرای این اقدامات، به ویژه به روزرسانی فوری و استفاده از VPN، ریسک افشای اطلاعات خصوصی را به حداقل می‌رساند و حریم خصوصی کاربران IOS و iPadOS را در برابر ردیابی پنهان حفظ می‌کند.

امکان استفاده در تاکتیک های Mitre Attack

Initial Access (TA0001)
مهاجم از طریق ارسال ایمیل (فیشینگ/هرزنامه) حاوی تصاویر یا منابع راه‌دور به گیرندگان، دسترسی اولیه را فراهم می‌کند؛ وقتی کاربر ایمیل را باز می‌کند، کلاینت Mail درخواست به سرور مهاجم می‌فرستد و اطلاعات پایه‌ای IP، زمان، UA در اختیار مهاجم قرار می‌گیرد.

Discovery (TA0007)
مهاجم می‌تواند از فراخوانی‌های تصویر اطلاعات محیطی دستگاه، آدرس IP، نوع دستگاه، نسخه OS، زمان بازکردن را استخراج و پروفایلینگ کند که برای شناسایی اهداف سودمند است.

Collection (TA0009)
داده‌های جمع‌آوری‌شده شامل تایم‌استمپ باز شدن ایمیل، آدرس‌های IP و رشته‌ی User-Agent است؛ مهاجم این داده‌ها را برای تحلیل رفتار یا هدف‌گیری بعدی ذخیره می‌کند.

Exfiltration (TA0010)
اطلاعاتِ کوچک اما قابل‌اتکاء ردیابی باز شدن، IP، fingerprint به سرور مهاجم ارسال و به‌صورت گسترده استخراج می‌شود؛ این کانال ساده و کم‌هزینه برای مهاجم است.

Impact (TA0040)
اثر اصلی محرمانگی و حریم خصوصی است: افشای موقعیت و اثرپذیری کاربران (tracking, profiling) ، که می‌تواند به سرقت نشست، فیشینگ هدفمند و کاهش حریم خصوصی منجر شود؛ اثر فنی روی یکپارچگی یا در دسترس‌پذیری محدود است اما پیامدهای تجاری/قانونی (نقض حریم خصوصی) قابل‌توجه است.

منابع

1. https://www.cve.org/CVERecord?id=CVE-2025-43496
2. https://www.cvedetails.com/cve/CVE-2025-43496/
3. https://support.apple.com/en-us/125633
4. https://vulmon.com/vulnerabilitydetails?qid=CVE-2025-43496
5. https://vuldb.com/?id.331071
6. https://nvd.nist.gov/vuln/detail/cve-2025-43496
7. https://cwe.mitre.org/data/definitions/359.html