CVE-2025-31200 – iOS AudioConverterService – удаленное выполнение кода без взаимодействия (Zero-Click RCE)

Публичное раскрытие CVE-2025-31200 – уязвимость удаленного выполнения кода без взаимодействия (RCE) в Apple iOS 18.X, а именно в компоненте AudioConverterService. Уязвимость срабатывает при доставке вредоносного аудиофайла через iMessage или SMS и не требует взаимодействия с пользователем.

---

Раскрытие и график исправлений

• Дата первоначального отчета: 21 января 2025 года
• Сообщено в: US-CERT (Идентификатор отслеживания: VRF#25-01-MPVDT)
• Исправлено Apple: Исправлено без публичного объявления в iOS 18.4.1, выпущенной 16 апреля 2025 года
• Назначение CVE: Идентификатор CVE-2025-31200 используется публично из-за отсутствия ответа от MITRE
• Признание: Ни Apple, ни MITRE не предоставили публичного признания или благодарности по состоянию на 18 мая 2025 года

Из-за серьезности уязвимости, длительного молчания заинтересованных сторон и отсутствия признания или прозрачности после исправления данный репозиторий публикуется для информирования сообщества безопасности и поддержки защитных мер.

---

Затронутые системы