CVE-2025-24200
Apple iOS and iPadOS Incorrect Authorization Vulnerability
Beschreibung
CVE-2025-24200 ist eine Sicherheitslücke mittlerer Schwere (CVSS 6.1 MEDIUM) in Apple iOS und iPadOS, die eine Umgehung des USB Restricted Mode auf gesperrten Geräten ermöglicht. Die Schwachstelle erfordert physischen Zugriff auf das Gerät und wurde durch ein Autorisierungsproblem mit unzureichendem State Management verursacht. Apple hat bestätigt, dass die Schwachstelle in einem extrem ausgeklügelten Angriff gegen gezielt ausgewählte Einzelpersonen ausgenutzt wurde. Behoben in iPadOS 17.7.5, iOS 18.3.1 und iPadOS 18.3.1. Der EPSS-Score beträgt 0.40713 (97.3. Perzentil), und die Schwachstelle wurde in den CISA KEV-Katalog aufgenommen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:P/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| apple | ipados | < 15.8.4; >= 16.0, < 16.7.11; >= 17.0, <= 17.7.5; >= 18.0, < 18.3.1 |
| apple | iphone os | < 15.8.4; >= 16.0, < 16.7.11; >= 17.0, < 18.3.1 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:P/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
CVSS:3.1/AV:P/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Referenzen
- https://support.apple.com/en-us/122173(Release Notes, Vendor Advisory)
- https://support.apple.com/en-us/122174(Release Notes, Vendor Advisory)
- https://support.apple.com/en-us/122345(Release Notes, Vendor Advisory)
- https://support.apple.com/en-us/122346(Release Notes, Vendor Advisory)
- http://seclists.org/fulldisclosure/2025/Apr/7(Mailing List, Third Party Advisory)
- http://seclists.org/fulldisclosure/2025/Feb/7(Mailing List, Third Party Advisory)
- http://seclists.org/fulldisclosure/2025/Feb/8(Mailing List, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-24200(US Government Resource)
Schwachstellentyp
Autorisierungsproblem mit fehlerhaftem State Management
Die Schwachstelle basiert auf einem Autorisierungsfehler, der durch unzureichendes State Management verursacht wurde. Der USB Restricted Mode ist eine Sicherheitsfunktion in iOS und iPadOS, die den USB-Datenzugriff auf gesperrte Geräte nach einer bestimmten Inaktivitätszeit unterbindet, um forensische Extraktion und Brute-Force-Angriffe über USB-Schnittstellen zu verhindern. Durch den fehlerhaften Zustandsmanagement konnte ein physischer Angreifer diese Schutzfunktion deaktivieren und somit den USB-Datenzugriff auf ein gesperrtes Gerät wiederherstellen. Mehr erfahren: CWE-863 auf MITRE
Auswirkungsanalyse
Apple iOS und iPadOS sind die meistverbreiteten mobilen Betriebssysteme in Unternehmen und werden auf Milliarden von Geräten weltweit eingesetzt. Vertraulichkeit (C:H) — Die Deaktivierung des USB Restricted Mode ermöglicht den Zugriff auf Gerätedaten über USB-basierte forensische Tools. Ein Angreifer mit physischem Zugriff kann potenziell Fotos, Nachrichten, E-Mails, Passwörter und Unternehmensdaten extrahieren. Integrität (I:H) — Über den USB-Zugriff können möglicherweise Daten auf dem Gerät manipuliert oder Malware installiert werden. Verfügbarkeit (A:N) — Die Verfügbarkeit ist nicht direkt betroffen. Der physische Zugangsvektor (AV:P) begrenzt zwar die Reichweite des Angriffs, jedoch ist der Kontext besonders besorgniserregend: Apple hat bestätigt, dass die Schwachstelle in einem "extrem ausgeklügelten Angriff gegen gezielt ausgewählte Einzelpersonen" eingesetzt wurde. Dies deutet auf den Einsatz durch staatliche Akteure oder kommerzielle Surveillance-Unternehmen hin. Der EPSS-Score von 40.71% (97.3. Perzentil) ist für eine physische Schwachstelle außergewöhnlich hoch. Der Ransomware-Status ist als "Unknown" klassifiziert, da physische Angriffe typischerweise nicht in Ransomware-Kampagnen eingesetzt werden, sondern eher in gezielten Überwachungsoperationen.
Exploit-Reifegrad
CVE-2025-24200 wurde in den CISA KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 5. März 2025. Apple hat ausdrücklich bestätigt, dass die Schwachstelle "in einem extrem ausgeklügelten Angriff gegen gezielt ausgewählte Einzelpersonen" ausgenutzt wurde, was auf den Einsatz durch staatliche Akteure oder professionelle Surveillance-Firmen hindeutet. Der EPSS-Score von 0.40713 ist mit 97.3. Perzentil für eine Schwachstelle mit physischem Angriffsvektor bemerkenswert hoch, was auf ein breites Interesse an der Ausnutzung hinweist. Die Schwachstelle ist besonders relevant im Kontext von forensischen Datenextraktionstools wie Cellebrite UFED oder GrayKey, die von Strafverfolgungsbehörden und Geheimdiensten eingesetzt werden. Der USB Restricted Mode war speziell als Schutz gegen solche Tools eingeführt worden. Der Ransomware-Status ist als "Unknown" klassifiziert.
Behebung
-
iOS/iPadOS umgehend aktualisieren — Aktualisieren Sie alle Apple-Geräte auf iOS 18.3.1, iPadOS 18.3.1 oder iPadOS 17.7.5. Die Updates sind über die Einstellungen unter "Allgemein" > "Softwareupdate" verfügbar. Hinweise finden Sie in den Apple Security Updates HT122173 und HT122174.
-
Ältere Geräte prüfen — Beachten Sie, dass Geräte mit iOS/iPadOS 15.x (vor 15.8.4) und 16.x/17.x (vor 17.7.5) ebenfalls betroffen sind. Planen Sie die Aktualisierung aller Geräteflotten entsprechend.
-
MDM-Richtlinien anpassen — Wenn Sie ein Mobile Device Management (MDM) System einsetzen, erzwingen Sie die Installation des Sicherheitsupdates über Ihre MDM-Richtlinien und blockieren Sie den Zugriff auf Unternehmensressourcen für nicht aktualisierte Geräte.
-
Physische Gerätesicherheit überprüfen — Da die Schwachstelle physischen Zugriff erfordert, überprüfen Sie die physischen Sicherheitsmaßnahmen für Geräte mit sensiblen Daten. Stellen Sie sicher, dass kritische Geräte nicht unbeaufsichtigt gelassen werden.
-
Hochrisiko-Nutzer informieren — Identifizieren und informieren Sie Personen, die einem erhöhten Risiko gezielter Überwachung ausgesetzt sind (Führungskräfte, Journalisten, Menschenrechtsaktivisten), über die besondere Dringlichkeit dieses Updates.
Technische Details
Der CVSS-Vektor CVSS:3.1/AV:P/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N beschreibt eine physische Schwachstelle mit hohen Auswirkungen. Angriffsvektor (AV:P) — Die Ausnutzung erfordert physischen Zugriff auf das Zielgerät, was den häufigsten Angriffsweg — Remote-Exploitation — ausschließt. Angriffskomplexität (AC:L) — Bei vorhandenem physischen Zugriff ist die Ausnutzung nicht komplex. Erforderliche Berechtigungen (PR:N) — Keine vorherige Authentifizierung auf dem Gerät erforderlich; das Gerät muss lediglich physisch zugänglich sein. Benutzerinteraktion (UI:N) — Keine Interaktion des Gerätebesitzers notwendig. Scope (S:U) — Auswirkungen auf das betroffene Gerät beschränkt. Auswirkungen — Hohe Auswirkung auf Vertraulichkeit (C:H) und Integrität (I:H), keine auf Verfügbarkeit (A:N). Der USB Restricted Mode wurde von Apple in iOS 11.4.1 eingeführt und deaktiviert den USB-Datenzugriff auf einem gesperrten Gerät nach einer Stunde Inaktivität. Diese Funktion soll verhindern, dass forensische Datenextraktionstools über den Lightning- oder USB-C-Anschluss auf die Gerätedaten zugreifen können. Die Schwachstelle CVE-2025-24200 ermöglicht es einem physischen Angreifer, diesen Schutzmechanismus durch einen Autorisierungsfehler im State Management zu umgehen und den USB-Datenzugriff auf einem gesperrten Gerät wiederherzustellen.
Häufig gestellte Fragen
Was ist CVE-2025-24200?
CVE-2025-24200 ist eine Schwachstelle in Apple iOS und iPadOS, die es einem Angreifer mit physischem Zugriff ermöglicht, den USB Restricted Mode auf einem gesperrten Gerät zu deaktivieren. Dies eröffnet den Zugriff auf Gerätedaten über USB-basierte forensische Werkzeuge.
Was ist der USB Restricted Mode?
Der USB Restricted Mode ist eine Sicherheitsfunktion von Apple, die den USB-Datenzugriff auf gesperrte Geräte nach einer Stunde Inaktivität unterbindet. Sie wurde eingeführt, um forensische Datenextraktionstools daran zu hindern, über den Lightning- oder USB-C-Anschluss auf Gerätedaten zuzugreifen.
Wer ist von CVE-2025-24200 betroffen?
Betroffen sind alle iPhones und iPads mit iOS/iPadOS vor Version 15.8.4, Versionen 16.0 bis 17.7.4 sowie Versionen 18.0 bis 18.3.0. Apple hat bestätigt, dass die Schwachstelle in gezielten Angriffen gegen bestimmte Einzelpersonen eingesetzt wurde, was auf staatliche Akteure hindeutet.
Muss ich mir als normaler Nutzer Sorgen machen?
Die Schwachstelle erfordert physischen Zugriff auf Ihr Gerät und wurde primär in gezielten Überwachungsoperationen eingesetzt. Für die meisten Nutzer ist das direkte Risiko gering, dennoch sollten Sie das Update installieren, da es eine grundlegende Sicherheitsfunktion wiederherstellt und künftige, möglicherweise breiter angelegte Angriffe verhindert.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.