原创 威胁情报中心 2025-08-26 14:29 北京
最新发现的CVE-2025-43300是Apple ImageIO框架的一个严重安全缺陷，已被用于针对特定目标的复杂攻击。本报告将分析此漏洞的技术细节，探讨其可能的攻击者背景，并对比历史攻击案例，以揭示高级威胁组织的攻击模式和技术演进路径。
引言
🔍 CVE-2025-43300是Apple ImageIO框架中的一个边界外写漏洞，存在于处理Adobe DNG文件的JPEG无损解码逻辑中。攻击者通过构造特殊图片文件，可在目标设备上实现远程代码执行，且无需用户交互即可触发。
🎯 该漏洞已被用于实施高度针对性的定向攻击，攻击者可能具有丰富的技术资源和专业知识，并与国家级APT组织或高端商业间谍软件公司相关联。
🔧 漏洞的根本原因是TIFF子目录中的SamplesPerPixel标签与JPEG SOF3标记中组件数不一致，导致解码器将数据写入超过原缓冲区范围的内存区域，引发堆缓冲区破坏。
📊 苹果今年已累计修复了7个在真实攻击中被利用的零日漏洞，表明iOS设备面临持续的高级威胁，需要采取多层次的防御策略。
🔒 针对此漏洞，建议及时更新系统，限制消息应用权限，启用高级保护模式，并实施网络隔离与监控等防御措施。
原创 威胁情报中心 2025-08-26 14:29 北京
最新发现的CVE-2025-43300是Apple ImageIO框架的一个严重安全缺陷，已被用于针对特定目标的复杂攻击。本报告将分析此漏洞的技术细节，探讨其可能的攻击者背景，并对比历史攻击案例，以揭示高级威胁组织的攻击模式和技术演进路径。
将 SubIFD 中的 SamplesPerPixel 从 1 改为 2（位于偏移 0x2FD00）
将 JPEG SOF3 段的组件数从 2 改为 1（偏移 0x3E40B）
这种不一致导致 Apple 的 DNG 解码器在分配内存缓冲区时基于 SamplesPerPixel=2 计算大小，但在实际解码过程中却按照 SOF3 组件数=1 处理数据。结果是，解码器将数据写入超过原缓冲区范围的内存区域，引发堆缓冲区破坏。高度针对性：苹果表示该漏洞被用于"针对特定目标个人的极其复杂的攻击"，这种高度针对性是国家支持的 APT 组织或高端商业间谍软件公司的典型特征。
技术复杂度：漏洞利用的技术复杂度较高，需要对 Apple ImageIO 框架和 DNG 文件格式有深入理解，表明攻击者拥有丰富的技术资源和专业知识。
历史背景：通过此次更新，苹果今年已累计修复了 7 个在真实攻击中被利用的零日漏洞，表明 iOS 设备面临持续的高级威胁。
文件投递：攻击者向目标发送恶意构造的 DNG 图像文件，可通过 iMessage、Safari 渲染图片页面、AirDrop 文件共享或电子邮件附件等途径。
自动触发：iOS 系统会自动对收到的 DNG 文件生成缩略预览或索引，不需要用户许可，为零点击攻击提供条件。
漏洞利用：当目标设备处理恶意 DNG 文件时，触发 ImageIO 框架中的越界写入漏洞，导致内存损坏。
权限提升：攻击者可能利用额外漏洞逃出沙箱限制，提升权限并可能安装间谍软件或后门。
CVE-2023-41990：ADJUST TrueType 字体指令中的漏洞，允许通过恶意 iMessage 附件远程执行代码。
CVE-2023-32434：XNU 内存映射系统调用中的整数溢出问题，允许攻击者对设备物理内存进行广泛的读/写访问。
CVE-2023-32435：Safari 漏洞，用于执行 shellcode，作为多阶段攻击的一部分。
CVE-2023-38606：利用硬件 MMIO 寄存器绕过页面保护层（PPL）的漏洞，覆盖基于硬件的安全保护。
Operation Triangulation 的技术特点是利用了苹果芯片中未记录的硬件功能。卡巴斯基研究人员发现，CVE-2023-38606 针对的是 Apple A12-A16 仿生处理器中未知的 MMIO 寄存器，这些寄存器可能与芯片的 GPU 协处理器相关联，且未在 DeviceTree 中列出。CVE-2023-41064：一个缓冲区溢出漏洞，在处理恶意图像时可能会导致任意程序执行。
CVE-2023-41061：一个验证漏洞，可借由传送恶意附加档案执行任意程序。
BLASTPASS 攻击可能绕过了 Apple 的 BlastDoor 保护机制，因为它利用了 PassKit 渲染过程，而不是直接通过 iMessage 的常规媒体处理路径。零点击感染：Pegasus 能够通过零点击攻击感染设备，无需用户交互即可完成感染过程。
全面监控：一旦安装，Pegasus 可以监控和窃取设备上的各种数据，包括短信、电子邮件、通话记录、照片、位置信息等。
持续更新：NSO Group 不断更新 Pegasus，以绕过安全防护并利用新发现的漏洞。据报道，NSO Group 在 2022 年至少部署了3个针对iPhone的新型"零点击"漏洞。
NSO Group 因其间谍软件被用于针对记者、活动家和政治异见人士而备受争议。2021 年，美国将 NSO Group 列入实体名单，理由是其违反美国国家安全和外交政策利益。同年，苹果公司对 NSO Group 提起诉讼，指控其使用间谍软件非法监控苹果客户。俄罗斯官方指控：俄罗斯官方指控美国国家安全局(NSA)发起了这次攻击，称有数千部俄罗斯外交人员的 iPhone 被感染，特别是位于北约、前苏联加盟国、以色列和中国等地的外交使团成员。
卡巴斯基的中立立场：卡巴斯基作为发现该攻击的安全公司，按照其一贯政策，没有对攻击者进行明确归因。
技术分析推断：技术分析显示，攻击者利用了一种未公开记录的硬件功能，这表明攻击者要么拥有极高的研究能力，要么可能获取了苹果内部硬件设计文档。
Operation Triangulation 的攻击目标具有高度针对性，主要针对特定个人和组织：卡巴斯基员工：卡巴斯基公司的数十名员工成为攻击目标，这也是该攻击被发现的原因之一。
外交人员：根据俄罗斯官方的说法，数千名外交人员的iPhone被感染，特别是在北约、前苏联加盟国、以色列和中国等地的外交使团成员。
零点击攻击链：所有案例都采用零点击攻击方式，无需用户交互即可完成感染过程，提高了攻击的隐蔽性和成功率。
高度针对性：攻击通常针对特定的高价值目标，如政府官员、外交人员、记者和活动家，而非普通用户。
多阶段攻击：攻击通常包含多个阶段，从初始感染到权限提升，再到后门植入和数据窃取。
利用未公开漏洞：攻击者倾向于使用零日漏洞或未公开的硬件/软件特性，这些漏洞在被发现和修复之前可能已被利用多年。
差异与特点技术复杂度：Operation Triangulation 展现了极高的技术复杂度，利用了未公开的硬件功能和多个零日漏洞，表明背后可能是拥有强大技术能力的国家级组织。
商业与国家行为体：BLASTPASS 与 NSO Group 明确相关，代表了商业间谍软件公司为政府客户提供服务的模式；而 Operation Triangulation 更可能是国家安全机构直接操作的结果。
攻击目的：不同攻击的目的可能有所不同，从政治情报收集（如针对外交人员）到监控异见人士和记者（如 Pegasus 的多个案例）。
归因难度：Operation Triangulation 和 CVE-2025-43300 的归因较为困难，缺乏明确证据；而 BLASTPASS 已被明确归因于 NSO Group，这与商业间谍软件公司的特点有关（其产品被多个客户使用，增加了被发现和归因的可能性）。
国家级 APT 威胁持续存在：高级持续性威胁（APT）组织，无论是国家安全机构直接操作还是商业间谍软件公司支持的，都在不断开发和利用高级零日漏洞对特定目标实施攻击。
零点击攻击成为主流：零点击攻击因其隐蔽性和有效性，已成为高级威胁组织的首选攻击方式，特别是针对高价值目标的精准打击。
技术复杂度不断提升：从利用简单漏洞到利用未公开硬件功能，高级威胁组织的技术能力不断提升，这使得检测和防御变得更加困难。
商业间谍软件市场问题：以 NSO Group 为代表的商业间谍软件公司为政府客户提供高级攻击工具，形成了一个争议性的市场，引发了法律和伦理问题。
及时更新系统：确保 iOS/iPadOS 系统保持最新版本，苹果通常会在安全更新中修复已知漏洞。
限制消息应用权限：考虑限制iMessage和其他消息应用的自动媒体下载功能，特别是来自未知联系人的媒体文件。
启用高级保护模式：对于高风险用户，启用苹果提供的"锁定模式"（Lockdown Mode），该模式会限制可能被用于攻击的功能。
网络隔离与监控：在企业环境中，实施网络隔离策略，监控与已知命令控制（C2）服务器的通信。
防御技术进步：苹果可能会进一步强化 BlastDoor 等沙箱机制，并为更多媒体处理组件提供类似的保护。
安全研究透明度：随着更多高级攻击被公开分析，安全研究社区对这些攻击的理解将加深，有助于开发更有效的防御措施。
硬件安全强化：未来的移动设备可能会加强硬件级安全措施，如更严格的内存访问控制和更复杂的指针认证机制。
CVE-2025-43300 漏洞及其相关高级威胁事件表明，即使是最先进的移动操作系统也存在被零点击攻击利用的风险。这些攻击的复杂性和隐蔽性要求安全研究人员、设备制造商和用户保持警惕，采取多层次的防御策略。点击阅读原文至ALPHA 8.3即刻助力威胁研判AI辅助创作，多种专业模板，深度分析，高质量内容生成。从观点提取到深度思考，FishAI为您提供全方位的创作支持。新版本引入自定义参数，让您的创作更加个性化和精准。
鱼阅，AI 时代的下一个智能信息助手，助你摆脱信息焦虑