安全热点周报：零日漏洞瞄准 iPhone，苹果紧急发布安全补丁

奇安信 CERT · 公众号 · · 2025-04-21 18:00

正文

请到「今天看啥」查看全文

https://www.bleepingcomputer.com/news/security/windows-ntlm-hash-leak-flaw-exploited-in-phishing-attacks-on-governments/

2. Apple iOS/iPadOS 内存破坏漏洞(CVE-2025-31200)&Apple iOS/iPadOS 指针认证绕过漏洞(CVE-2025-31201)

4月16日，苹果已向其整个生态系统（包括 iOS、macOS、iPadOS、tvOS 和 visionOS）发布了紧急安全更新，以修补两个零日漏洞，该公司称这是针对特定 iPhone 用户的“极其复杂的攻击”。

这两个漏洞的编号分别为 CVE-2025-31200 和 CVE-2025-31201，是由苹果内部团队与谷歌威胁分析小组 (TAG) 合作发现的。这两个漏洞已被用于有针对性的攻击，但苹果尚未透露攻击的幕后黑手或影响范围。苹果公司在周三发布的安全公告中表示，该问题可能已被利用来针对 iOS 上特定目标用户的极其复杂的攻击。

第一个漏洞存在于苹果的低级音频处理框架 CoreAudio 中。该漏洞编号为 CVE-2025-31200，可通过处理恶意制作的音频流（可能嵌入在媒体文件中）来触发，从而允许远程攻击者在目标设备上执行任意代码。此漏洞影响多个 Apple 平台，并且可以被悄悄利用，使其成为以间谍活动为重点的威胁行为者的理想攻击媒介。

第二个漏洞 CVE-2025-31201 是在 RPAC（远程过程身份验证组件）中发现的，它允许具有读或写权限的对手绕过指针身份验证代码 (PAC) - 这是 Apple 芯片中的一种安全机制，通过验证函数指针来帮助缓解内存损坏攻击。

绕过 PAC 可能允许攻击者提升权限或在受感染设备上保持隐秘持久性——这引发了人们对长期监视和数据泄露能力的严重担忧。

苹果一直对攻击者的身份和攻击手法守口如瓶。该公司尚未透露这些漏洞是如何实施的，以及是否有用户被成功入侵。

这两个漏洞均已在 iOS 18.4.1、iPadOS 18.4.1、tvOS 18.4.1、macOS Sequoia 15.4.1 和 visionOS 2.4.1中修复，强烈建议用户尽快更新补丁版本。

参考链接：

https://securityonline.info/urgent-apple-security-patch-zero-day-exploits-target-iphones/

PART 0 3

安全事件

1. 个人信息3毛/条！物流公司负责人倒卖12.9万条客户数据被判刑

4月17日交汇点消息，宿迁经开区人民法院近日审结的一起侵犯公民个人信息案，揭开了物流行业非法交易客户信息的隐秘链条。某物流公司负责人段某为拓展业务，与网点商家张某达成特殊协议：每提供一条客户收件信息可获0.3至0.6元报酬，同时以每条0.3元价格向快递公司陈某购买数据。经查，段某联络快递公司负责人陈某后，形成由陈某统筹指挥，郑某、陈某某、潘某某、蒋某某分工配合的6人团伙，专门从事信息归纳、汇总、定价工作。据法院审理查明，2024年4月1日至5月14日期间，该团伙通过物流系统非法导出公民个人信息12.9万余条，其中售出部分非法获利4.4万元。这些精准的收件人姓名、电话、住址等信息，最终成为商家“精准营销”的工具，去年4月30日，因市民察觉信息泄露报警，该案东窗事发。法院结合各被告人犯罪情节，最终对段某、陈某等6人判处有期徒刑3年、缓刑4年并处罚金等刑罚。

原文链接：

https://www.xhby.net/content/s6800fe3fe4b0e37860aec499.html

2. 哈尔滨市公安局公开通缉3名美国国家安全局特工

4月15日新华社消息，黑龙江省哈尔滨市公安局宣布，为依法严厉打击境外势力对我网络攻击窃密犯罪，切实维护国家网络空间安全和人民生命财产安全，决定对3名隶属于美国国家安全局（NSA）的犯罪嫌疑人凯瑟琳·威尔逊（Katheryn A. Wilson）、罗伯特·思内尔（Robert J. Snelling）、斯蒂芬·约翰逊（Stephen W. Johnson）进行通缉。前期，“2025年哈尔滨第九届亚冬会”遭受境外网络攻击事件经媒体报道后，引发广泛关注。国家计算机病毒应急处理中心和亚冬会赛事网络安全保障团队，及时向哈尔滨市公安局提交了亚冬会遭受网络攻击的全部数据。哈尔滨市公安局立即组织技术专家组成技术团队开展网络攻击溯源调查。在相关国家支持下，经技术团队持续攻坚，成功追查到NSA的3名特工和两所美国高校，参与实施了针对亚冬会的网络攻击活动。调查发现，NSA意图利用网络攻击窃取参赛运动员的个人隐私数据，并妄图破坏系统，扰乱影响亚冬会赛事的正常运行。同时，NSA针对黑龙江省内能源、交通、水利、通信、国防科研院校等重要行业开展网络攻击，意图破坏我关键信息基础设施引发社会秩序混乱和窃取我相关领域重要机密信息。进一步调查发现，该3名特工曾多次对我国关键信息基础设施实施网络攻击，并参与对华为公司等企业的网络攻击活动。技术团队同时发现，具有美国国家安全局（NSA）背景的美国加利福尼亚大学、弗吉尼亚理工大学也参与了本次网络攻击。

原文链接：

https://mp.weixin.qq.com/s/XCazIoSGTRu5-qyZGuSVAg

3. 英国软件厂商关键数据库公网暴露，泄露近800万条医护职工敏感信息

4月15日Hackread消息，安全研究员Jeremiah Fowler披露，英国人力资源软件厂商Logezy的员工管理数据库配置错误，导致该国800万条医护人员的敏感信息被泄露，涉及身份证明、财务数据等。据了解，该数据库无密码保护且未加密，存储数据总量达1.1TB，包括7975438个文件，里边包括工作许可文件、国家报治安好吗、电子签名、证书、身份证明文件、工时记录等大量敏感信息。Fowler通知Logezy公司后该数据库随即被限制公开访问，但不确定此前公网暴露的时长、数据有无被访问等。

原文链接：