CVE-2025-43459CVE-2025-43459是Apple Watch设备上的一个认证状态管理漏洞。该漏洞存在于watchOS系统中，由于状态管理逻辑缺陷，攻击者即使在设备锁定状态下，只要物理接触Apple Watch，即可绕过认证机制查看Live Voicemail（实时语音信箱）内容。该漏洞的CVSS评分为4.6，属于中等严重程度，主要影响设备的机密性。攻击向量为物理接触（AV:P），无需认证（PR:N）且无需用户交互（UI:N）。此漏洞由Apple产品安全团队（[email protected]）发现并报告，已在watchOS 26.1版本中修复。漏洞描述显示这是一个身份验证问题，通过改进状态管理得到解决。对于企业用户和个人用户而言，该漏洞可能导致敏感语音邮件信息在设备丢失或被非法接触时泄露，需要及时更新系统以防止潜在的安全风险。
该漏洞属于认证绕过类漏洞，核心问题在于Apple Watch的锁定状态与Live Voicemail功能之间的状态管理逻辑存在缺陷。在正常的安全设计中，设备锁定时应拒绝所有敏感数据的访问请求，包括语音邮件内容。然而，由于watchOS在处理Live Voicemail请求时未能正确验证设备锁定状态，导致攻击者可以在WatchOS界面通过特定操作序列触发语音邮件内容的显示。具体而言，当Apple Watch处于锁定状态时，系统未能正确执行锁定检查逻辑，允许本应被隐藏的Live Voicemail界面元素被渲染和访问。攻击者需要物理接触目标设备，然后通过简单的界面操作（如滑动或点击）即可触发漏洞利用。CVSS向量显示该漏洞的完整性影响（I:N）和可用性影响（A:N）均为无，机密性影响（C:H）为高，表明该漏洞主要导致信息泄露而不会影响数据完整性或系统可用性。修复方案已在watchOS 26.1中通过加强状态管理验证逻辑实现。