CVE-2025-55177: Incomplete authorization of linked device synchronization messages in WhatsApp for iOS prior to v2.25.21.73, WhatsApp Business for iOS v2.25
Оценка Noroxi
Приоритет: В плане (оценка срочности 55/100)
- CISA подтвердило эксплуатацию в реальных атаках (2 сент. 2025 г.). Срок устранения для федеральных ведомств США: 23 сент. 2025 г.
- Вероятность эксплуатации в ближайшие 30 дней: 13,5% (FIRST EPSS); выше, чем у 96,4% записей.
- Может быть вызвана любым, у кого есть доступ через интернет. Достаточно учётной записи с низкими привилегиями. Действия пользователя не требуются. Особые условия не требуются; воспроизводится стабильно.
- Исправленная версия: Facebook WhatsApp Business for iOS 2.25.21.78; Facebook WhatsApp Desktop for Mac 2.25.21.78; Facebook WhatsApp for iOS 2.25.21.73.
- Упоминается в национальных бюллетенях кибербезопасности Турции (siberguvenlik.gov.tr): 1.
Включите в обычный цикл установки исправлений. Обновитесь до Facebook WhatsApp Business for iOS 2.25.21.78; Facebook WhatsApp Desktop for Mac 2.25.21.78; Facebook WhatsApp for iOS 2.25.21.73 или новее.
Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем
Первоисточники: NVD · CVE.org · CISA KEV · FIRST EPSS
Incomplete authorization of linked device synchronization messages in WhatsApp for iOS prior to v2.25.21.73, WhatsApp Business for iOS v2.25.21.78, and WhatsApp for Mac v2.25.21.78 could have allowed an unrelated user to trigger processing of content from an arbitrary URL on a target’s device. We assess that this vulnerability, in combination with an OS-level vulnerability on Apple platforms (CVE-2025-43300), may have been exploited in a sophisticated attack against specific targeted users.
- Опубликовано
- 29 авг. 2025 г.
- Обновлено
- 18 окт. 2026 г.
- EPSS
- 13,5 % · 96-й процентиль
- CWE
- CWE-863
Инструменты для отчёта
Оценка срочности
55
В плане
Включите в обычный цикл установки исправлений.
- CVSS
- 21 / 40 · 5.4 / 10
- CISA KEV
- 30 / 30 · В списке
- EPSS
- 4 / 30 · 13,5 %
Решение CISA SSVC
- Эксплуатация
- активная
- Автоматизируемо
- нет
- Техническое влияние
- полное
Vulnrichment: входные данные дерева решений CISA.
Оценка CNA и NVD
- NVD
- —
- CNA · facebook
- 5,4
- NVD ещё не выставил свою оценку; показана оценка CNA.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N/E:F/RL:O/RC:C
Оценка присваивающего органа и независимая оценка NVD. Разрыв означает, что критичность спорна.
Активно эксплуатируется
CISA добавило это в каталог активно эксплуатируемых уязвимостей (KEV) 2 сент. 2025 г.. Это указывает на реальные атаки, а не теорию.
Срок устранения для федеральных ведомств США: 23 сент. 2025 г..
Узнайте, когда запись изменится
- В CISA KEV: эксплуатация в реальных атаках подтверждена
- Есть боевой эксплойт
- Исправление выпущено
Если что-то из этого изменится, сообщим в ежедневной сводке.
У вас WordPress? Проверьте сайт бесплатно в WP Lens
Анализ Noroxi
Что это значит для вашей инфраструктуры?
Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.
Мы используем этот продукт, нужна помощьЗатронутые системы
Затронута ли ваша версия?
Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.
| Вендор | Продукт | CPE |
|---|---|---|
| cpe:2.3:a:whatsapp:whatsapp | ||
| whatsapp business | cpe:2.3:a:whatsapp:whatsapp_business |
Затронутые версии
Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.
- whatsapp whatsapp2.22.25.2 и новее · до 2.25.21.73
- whatsapp whatsapp2.22.25.2 и новее · до 2.25.21.78
- whatsapp whatsapp business2.22.25.2 и новее · до 2.25.21.78
Версии, заявленные вендором
Диапазоны затронутых версий, заявленные назначающей организацией (facebook). Не зависят от анализа CPE в NVD и обычно опережают его.
Facebook WhatsApp Business for iOS
- 2.22.25.2 и новее · до 2.25.21.78затронута · semver
Facebook WhatsApp Desktop for Mac
- 2.22.25.2 и новее · до 2.25.21.78затронута · semver
Facebook WhatsApp for iOS
- 2.22.25.2 и новее · до 2.25.21.73затронута · semver
Тот же продукт
whatsapp: все записиДругие записи с наивысшей оценкой для того же основного продукта.
- CVE-2019-18426A vulnerability in WhatsApp Desktop versions prior to 0.3.9309 when paired with WhatsApp for iPhone versions prior to 2.20.10 allows cross-sKEV82Срочно
- CVE-2019-3568A buffer overflow vulnerability in WhatsApp VOIP stack allowed remote code execution via specially crafted series of RTCP packets sent to a KEV78На этой неделе
- CVE-2019-11932A double free vulnerability in the DDGifSlurp function in decoding.c in the android-gif-drawable library before version 1.2.18, as used in W48В плане
Опубликованы до и после этой записи в том же продукте
- ← РаньшеCVE-2023-385384 окт. 2023 г. · A race condition in an event subsystem led to a heap use-after-free issue in established audio/video calls that could have resulted in app t20Наблюдать
- ← РаньшеCVE-2025-304015 апр. 2025 г. · A spoofing issue in WhatsApp for Windows prior to version 2.2450.6 displayed attachments according to their MIME type but selected the file 32Наблюдать
- Позже →CVE-2025-5517918 нояб. 2025 г. · Incomplete validation of rich response messages in WhatsApp for iOS prior to v2.25.23.73, WhatsApp Business for iOS v2.25.23.82, and WhatsAp21Наблюдать
Исправление
На какую версию обновиться
Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.
| Продукт / пакет | Исправленная версия | Источник |
|---|---|---|
| Facebook WhatsApp Business for iOS | 2.25.21.78 | Вендор (CNA) |
| Facebook WhatsApp Desktop for Mac | 2.25.21.78 | Вендор (CNA) |
| Facebook WhatsApp for iOS | 2.25.21.73 | Вендор (CNA) |
Статус эксплойта
Готовый эксплойт
Известен готовый инструмент или активное использование в реальных атаках. Это должно быть высшим приоритетом.
Доказательство
- Репозиторий PoC на GitHub ×1
Noroxi не размещает код эксплойтов и не даёт на них ссылок. Показываются имена модулей Metasploit и идентификаторы шаблонов Nuclei (имена, не код); записи Exploit-DB и репозитории PoC даются только числом.
| Источник | Тип | Дата |
|---|---|---|
| Репозиторий PoC на GitHub | stars:6 | 2026-04-24 |
Контекст для исследователя
Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.
Хронология
От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.
- Публикация
- CISA KEV+3 дн.
- Первый PoC+237 дн.
- Сегодня2 нояб. 2026 г.+429 дн.
Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).
Ссылки на патчи и коммиты
Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.
Среди источников нет ссылок на коммит или PR.
Авторы
Все исследователиНашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.
В записи CNA нет авторов.
Кандидаты в варианты
Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.
- CVE-2025-55179с разницей 81 дн.Incomplete validation of rich response messages in WhatsApp for iOS prior to v2.25.23.73, WhatsApp Business for iOS v2.25.23.82, and WhatsAp21Наблюдать
Кандидаты в цепочки
Обход аутентификации и уязвимость, требующая привилегий, в одном продукте и близко по времени: вместе они могут дать путь без аутентификации.
—
Охват bug bounty
Известной публичной программы нет.
Источник: bounty-targets-data (публичные списки HackerOne, Bugcrowd, Intigriti, YesWeHack).
Национальное уведомление (Управление кибербезопасности Турции / USOM)
Официальные уведомления, ссылающиеся на эту запись; рекомендации — на странице ведомства.
- TR-26-1145 · 22 сент. 2026 г.- WhatsApp ve Apple ImageIO Zafiyet Zinciri Ayrıntılı Güvenlik Duyurusu
Технические детали
Условия атаки
- Может быть вызвана любым, у кого есть доступ через интернет.
- Достаточно учётной записи с низкими привилегиями.
- Действия пользователя не требуются.
- Особые условия не требуются; воспроизводится стабильно.
В случае успеха
- Конфиденциальность
- низкое · данные могут быть прочитаны
- Целостность
- низкое · данные или конфигурация могут быть изменены
- Доступность
- нет
- Вектор атаки
- Сеть
- Сложность атаки
- Низкая
- Требуемые привилегии
- Низкие
- Взаимодействие с пользователем
- Не требуется
- Область действия
- Не изменяется
- Влияние на конфиденциальность
- Низкое
- Влияние на целостность
- Низкое
- Влияние на доступность
- Нет
Класс уязвимости (CWE)
CWE-863 · Incorrect AuthorizationВектор CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N
nvd-secondary
Контекст атаки
Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.
У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.
Журнал изменений
- Исправление✗ → ✓
Для отслеживаемых записей эти изменения приходят и как уведомления. →
Источники
Показать все источники (ещё 2)Свернуть
Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.