Apple (macOS/iOS) Seite 28

In Google Chrome vor Version 146.0.7680.153 besteht eine Use-After-Free-Schwachstelle in der Erweiterungsverwaltung (Extensions), die ein Angreifer ausnutzen kann, wenn ein Benutzer eine bösartige Erweiterung installiert, um potenziell Heap-Korruption zu verursachen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In macOS Sequoia 15.7.7, macOS Sonoma 14.8.7 und macOS Tahoe 26.5 wurde ein Logging-Problem durch verbesserte Datenmaskierung behoben. Eine bösartige App könnte zuvor aus ihrer Sandbox ausbrechen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In macOS Sequoia, Sonoma und Tahoe wurde eine Race Condition durch verbessertes Zustandshandling behoben. Ein in einer Sandbox laufender Prozess könnte möglicherweise die Sandbox-Beschränkungen umgehen. CVSS-Basiswert: 8.1 (Hoch).

Eine Race Condition in macOS wurde durch zusätzliche Validierung behoben. Eine App kann dadurch aus ihrer Sandbox ausbrechen. Das Problem ist in macOS Sequoia 15.7.5, macOS Sonoma 14.8.5 sowie macOS Tahoe 26.4 behoben. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In iOS 18.7.5, iPadOS 18.7.5, iOS 26.3, iPadOS 26.3, macOS Sequoia 15.7.4, macOS Sonoma 14.8.4 und macOS Tahoe 26.3 wurde ein Berechtigungsproblem durch zusätzliche Einschränkungen behoben. CVSS-Basiswert: 7.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In Canonical Multipass für macOS vor Version 1.16.3 wurde ein unvollständiger Fix für CVE-2025-5199 entdeckt. Der Patch in Version 1.16.0 aktualisierte zwar den Eigentümer des Multipassd-Daemons, hinterliess jedoch eine angreifbare Restlücke. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In macOS Sequoia 15.7.7, macOS Sonoma 14.8.7 und macOS Tahoe 26.5 wurde ein Konsistenzproblem durch verbesserte Zustandsbehandlung behoben. Eine App könnte zuvor in der Lage gewesen sein, Root-Rechte zu erlangen. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

Ein Autorisierungsproblem aufgrund unzureichender Statusverwaltung wurde in mehreren Apple-Betriebssystemen behoben. Betroffen sind iOS 18.7.9, iPadOS 18.7.9, iOS 26.5, iPadOS 26.5, macOS Sequoia 15.7.7, macOS Sonoma 14.8.7 und macOS Tahoe 26.5. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

Im Installer von IBM Trusteer Rapport 3.5.2309.290 kann ein lokaler Angreifer durch eine unkontrollierte DLL-Suchpfad-Schwachstelle beliebigen Code auf dem System ausführen. CVSS-Basiswert: 7.4 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

Im Updater von Google Chrome unter macOS wurde eine Schwachstelle durch unzureichende Validierung nicht vertrauenswürdiger Eingaben entdeckt. Ein lokaler Angreifer kann damit über eine bösartige Datei eine Rechteerhöhung auf Betriebssystemebene durchführen. Betroffen sind Versionen vor 148.0.7778.96. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In Google Chrome vor Version 145.0.7632.159 wurde ein Object-Lifecycle-Problem in den DevTools entdeckt. Ein Angreifer, der einen Nutzer zur Installation einer schädlichen Erweiterung verleitet, könnte potenziell einen Heap-Corruption-Angriff durchführen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

Ein Berechtigungsfehler in Apple macOS wurde durch zusätzliche Einschränkungen behoben. Eine App könnte Root-Privilegien erlangen. Behoben in macOS Sequoia 15.7.7, macOS Sonoma 14.8.7 und macOS Tahoe 26.4. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In macOS Sequoia 15.7.7, macOS Sonoma 14.8.7 und macOS Tahoe 26.5 wurde ein Berechtigungsfehler behoben, der es einer bösartigen App ermöglichte, die Sandbox zu umgehen. Das Problem wurde durch zusätzliche Einschränkungen behoben. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

Ein Speicherverwaltungsproblem in Apple-Plattformen wurde behoben. Eine App könnte unerwartete Systemzustände verursachen. Behoben in iOS 26.4 und iPadOS 26.4, macOS Tahoe 26.4, tvOS 26.4, visionOS 26.4 sowie watchOS 26.4. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In macOS Sequoia 15.7.4, macOS Sonoma 14.8.4 und macOS Tahoe 26.3 wurde ein Out-of-Bounds-Read-Problem durch verbesserte Eingabevalidierung behoben. Ein Angreifer konnte dadurch möglicherweise unerwartete Systemabstürze verursachen. CVSS-Basiswert: 7.7 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In OpenClaw (persönlicher KI-Assistent) wurde vor Version 2026.1.29 eine OS-Command-Injection-Schwachstelle über den Project Root Path in der Funktion sshNodeCommand identifiziert. Die Funktion konstruierte einen Shell-Befehl ohne ausreichende Validierung, was eine Befehlsinjektion ermöglicht. CVSS-Basiswert: 7.7 (Hoch).

Ein Use-After-Free-Problem in Apple-Plattformen wurde durch verbesserte Speicherverwaltung behoben. Behoben in iOS 18.7.7 und iPadOS 18.7.7, iOS 26.4 und iPadOS 26.4, macOS Sequoia 15.7.5, macOS Tahoe 26.4 sowie tvOS 26.4. CVSS-Basiswert: 7.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

Beim Installationsprozess der Native Access Applikation wird ein privilegierter Helper (com.native-instruments.NativeAccess.Helper2) eingesetzt, der Funktionen über XPC-Kommunikation ausführt. Eine Schwachstelle in diesem Bereich ermöglicht potenziell eine Rechteausweitung. CVSS-Basiswert: 8.8 (Hoch).

In Microsoft 365 Copilot für iOS besteht eine unzureichende Zugriffskontrolle (Improper Access Control). Ein nicht autorisierter Angreifer kann darüber über das Netzwerk seine Rechte ausweiten. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: die App auf eine vom Hersteller bereitgestellte, korrigierte Version aktualisieren.

Eine Code-Injection-Schwachstelle im Prisma Browser von Palo Alto Networks auf macOS beschränkt den Zugriff auf die AppleScript-Schnittstelle nicht ausreichend. Ein lokal authentifizierter Benutzer ohne Admin-Rechte kann den exponierten Apple-Event-Handler nutzen, um unautorisierte Befehle an den Browser zu senden. Laut CVSS-Vektor sind die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit hoch. CVSS-Basiswert: 7.8 (Hoch). Eine konkrete Massnahme ist in den Quelldaten nicht genannt.

Eine Schwachstelle in der CLI von Cisco IOS XR Software erlaubt einem authentifizierten, lokalen Angreifer die Ausführung beliebiger Befehle als root auf dem zugrunde liegenden Betriebssystem. Ursache ist eine unzureichende Validierung von Nutzerargumenten in bestimmten CLI-Befehlen. CVSS-Basiswert: 8.8 (Hoch).

Eine Schwachstelle bei der Zuweisung von Task-Gruppen für einen bestimmten CLI- Befehl in Cisco IOS XR Software könnte einem authentifizierten, lokalen Angreifer erlauben, Rechte auszuweiten und die vollständige administrative Kontrolle über ein betroffenes Gerät zu erlangen. Ursache ist eine falsche Zuordnung eines Befehls zu Task-Gruppen. Ein Angreifer mit einem niedrig privilegierten Konto könnte den CLI-Befehl nutzen, um die auf Task-Gruppen basierenden Prüfungen zu umgehen und Rechte auszuweiten. CVSS-Basiswert: 8.8 (Hoch).

In der JavaScript-Engine V8 von Google Chrome vor Version 144.0.7559.59 besteht ein Out-of-bounds-Speicherzugriff. Ein entfernter Angreifer kann darüber über eine speziell gestaltete HTML-Seite eine Objektbeschädigung auslösen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf Chrome 144.0.7559.59 oder neuer aktualisieren.

In der JavaScript-Engine V8 von Google Chrome vor Version 144.0.7559.59 besteht eine Schwachstelle durch eine unangemessene Implementierung. Ein entfernter Angreifer konnte über eine speziell präparierte HTML-Seite eine Object Corruption auslösen. Google stuft den Schweregrad seitens Chromium als „High“ ein. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf Google Chrome 144.0.7559.59 oder neuer.

Eine unangemessene Implementierung in der V8-Engine von Google Chrome vor Version 144.0.7559.59 erlaubte einem entfernten Angreifer, über eine manipulierte HTML-Seite einen Speicherzugriff ausserhalb der zulässigen Grenzen (out of bounds read) durchzuführen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Update auf 144.0.7559.59.

In der ANGLE-Komponente von Google Chrome vor Version 144.0.7559.59 besteht eine Use-after-free-Schwachstelle. Ein entfernter Angreifer kann darüber mit einer präparierten HTML-Seite potenziell eine Speicherbeschädigung (Heap Corruption) auslösen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Chrome auf Version 144.0.7559.59 oder neuer aktualisieren.

Im PDF-Parser von Foxit PDF Reader besteht ein Heap-basierter Pufferüberlauf bei der Verarbeitung speziell präparierter JBIG2-Daten. Bei der Berechnung der Bildpuffergrösse kann ein Integer-Überlauf auftreten, wodurch ein entfernter Angreifer möglicherweise beliebigen Code zur Ausführung bringen kann. CVSS-Basiswert: 7.8 (Hoch).

In der Annotationsverarbeitung von Foxit PDF Reader vor den Versionen 2025.2.1, 14.0.1 und 13.2.1 unter Windows und macOS existiert eine Use-after-free-Schwachstelle. Beim Öffnen eines PDF mit speziell präpariertem JavaScript kann bereits freigegebener Speicher dereferenziert werden, was einem entfernten Angreifer potenziell die Ausführung beliebigen Codes ermöglicht. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: auf Version 2025.2.1, 14.0.1 beziehungsweise 13.2.1 oder neuer aktualisieren. Es liegen keine Hinweise auf aktive Ausnutzung (CISA KEV) oder einen Einsatz in Ransomware-Kampagnen vor.

Miniconda3-Installer für macOS vor Version 23.11.0-1 enthalten eine lokale Rechteausweitungs-Schwachstelle, wenn die Installation ausserhalb des Home-Verzeichnisses des Benutzers erfolgt. Während der Installation werden weltbeschreibbare Dateien angelegt und mit Root-Rechten ausgeführt; ein lokaler Benutzer mit niedrigen Rechten kann darüber beliebige Befehle einschleusen und Code als Root ausführen. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: Miniconda3-Installer ab Version 23.11.0-1 verwenden.

Eine Schwachstelle in macOS kann von einer App ausgenutzt werden, um Launch-Constraint-Schutzmechanismen zu umgehen und bösartigen Code mit erhöhten Rechten auszuführen. Das Problem wurde durch zusätzliche Logik behoben und ist in macOS Sequoia 15.7.3 sowie macOS Tahoe 26 korrigiert. Ein lokaler Angreifer mit niedrigen Rechten kann Vertraulichkeit, Integrität und Verfügbarkeit in hohem Mass beeinträchtigen. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: die genannten macOS-Updates einspielen.

Ein Fehler in der Speicherverwaltung von macOS kann von einer App ausgenutzt werden, um eine unerwartete Systembeendigung auszulösen oder Prozessspeicher zu beschädigen. Das Problem wurde durch verbessertes Speichermanagement behoben und ist in macOS Sequoia 15.7.4, macOS Sonoma 14.8.4 sowie macOS Tahoe 26.1 korrigiert. Ein lokaler Angreifer mit niedrigen Rechten kann Vertraulichkeit, Integrität und Verfügbarkeit in hohem Mass beeinträchtigen. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: die genannten macOS-Updates einspielen.

Eine Schwachstelle in macOS kann von einer App ausgenutzt werden, um Root-Rechte zu erlangen. Der Angriff erfolgt lokal mit niedrigen Rechten und ohne Benutzerinteraktion; bei Erfolg sind Vertraulichkeit, Integrität und Verfügbarkeit des Systems in hohem Mass betroffen. Das Problem wurde laut Apple mit verbesserten Prüfungen behoben. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: auf macOS Tahoe 26.1 aktualisieren.

Ein Logikfehler in Apples Betriebssystemen kann von einer App ausgenutzt werden, um erhöhte Rechte zu erlangen. Das Problem wurde durch verbesserte Prüfungen behoben und ist in iOS 18.7.3 und iPadOS 18.7.3, macOS Sequoia 15.7.3, macOS Sonoma 14.8.3 sowie macOS Tahoe 26.2 korrigiert. Ein lokaler Angreifer mit niedrigen Rechten kann Vertraulichkeit, Integrität und Verfügbarkeit in hohem Mass beeinträchtigen. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: die genannten Betriebssystem-Updates einspielen.

Ein Berechtigungsproblem in macOS wurde mit zusätzlichen Einschränkungen behoben. Eine App kann dadurch möglicherweise Root-Rechte erlangen; der Angriffsvektor ist lokal, ein Angreifer mit niedrigen Rechten benötigt keine Benutzerinteraktion (Vektor CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H). CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: auf macOS Sequoia 15.7.3 beziehungsweise macOS Tahoe 26.2 aktualisieren, dort ist das Problem behoben.

In Foxit PDF Reader und Editor für Windows vor Version 13.2 sowie 2025 vor 2025.2 wurde eine Schwachstelle entdeckt. Werden Seiten eines PDF per JavaScript gelöscht, aktualisiert die Anwendung interne Zustände möglicherweise nicht korrekt. Nachfolgende Operationen zur Annotationsverwaltung gehen von gültigen Zuständen aus und dereferenzieren dadurch ungültigen oder freigegebenen Speicher. Dies kann zu Speicherbeschädigung und Abstürzen führen und einem Angreifer möglicherweise die Ausführung beliebigen Codes ermöglichen. CVSS-Basiswert: 7.8 (Hoch).

In Foxit PDF Reader und Editor für Windows und macOS vor Version 13.2 sowie in den 2025-Versionen vor 2025.2 besteht eine Schwachstelle, die bei der Verarbeitung präparierter PDF-Dateien zur Ausführung beliebigen Codes führen kann. Ursache ist eine unzureichende Behandlung von Speicherzuweisungsfehlern, nachdem einer charLimit-Eigenschaft eines Formularfelds per JavaScript ein extrem grosser Wert zugewiesen wurde. Dies kann zu Speicherbeschädigung führen, wenn ein Benutzer eine bösartige Datei öffnet. CVSS-Basiswert: 7.8 (Hoch).

Das Adobe DNG SDK in Version 1.7.0 und früher ist für einen Integer Overflow (Wraparound) anfällig, der zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Die Ausnutzung erfordert eine Benutzerinteraktion: Das Opfer muss eine bösartige Datei öffnen. CVSS-Basiswert: 7.8 (Hoch).

In der V8-JavaScript-Engine von Google Chrome vor Version 143.0.7499.41 besteht eine Type-Confusion-Schwachstelle. Ein entfernter Angreifer kann über eine präparierte HTML-Seite eine Speicherbeschädigung auslösen und möglicherweise ausnutzen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf Chrome 143.0.7499.41 oder neuer.

Eine Type-Confusion in V8 in Google Chrome vor Version 142.0.7444.59 erlaubte einem entfernten Angreifer, über eine präparierte HTML-Seite möglicherweise Heap-Korruption auszunutzen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Update auf Chrome 142.0.7444.59 oder neuer.

In der V8-Engine von Google Chrome vor Version 142.0.7444.59 besteht eine Type-Confusion-Schwachstelle. Ein entfernter Angreifer kann über eine präparierte HTML-Seite potenziell eine Heap-Beschädigung auslösen. Chromium stuft den Schweregrad als High ein. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Update auf Google Chrome 142.0.7444.59 oder neuer.

Eine Type-Confusion-Schwachstelle in der V8-Engine von Google Chrome vor Version 142.0.7444.59 erlaubt einem entfernten Angreifer, über eine präparierte HTML-Seite Heap-Korruption auszunutzen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Update auf Chrome 142.0.7444.59 oder neuer.

In der V8-JavaScript-Engine von Google Chrome vor Version 142.0.7444.59 besteht eine Type-Confusion-Schwachstelle. Ein entfernter Angreifer konnte diese über eine manipulierte HTML-Seite ausnutzen, um eine Heap-Korruption herbeizuführen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf Google Chrome 142.0.7444.59 oder neuer aktualisieren.

In der V8-JavaScript-Engine von Google Chrome vor Version 142.0.7444.59 besteht eine Type-Confusion-Schwachstelle. Ein entfernter Angreifer kann über eine präparierte HTML-Seite eine Speicherbeschädigung auslösen und möglicherweise ausnutzen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf Chrome 142.0.7444.59 oder neuer.

In der V8-Engine von Google Chrome vor Version 142.0.7444.175 erlaubte laut NVD eine Typverwechslung (Type Confusion) einem entfernten Angreifer, über eine präparierte HTML-Seite eine Heap-Beschädigung auszunutzen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf Chrome 142.0.7444.175 oder neuer aktualisieren.

Adobe InDesign Desktop in Version 20.5, 19.5.5 und früher ist für eine Use-after-free-Schwachstelle anfällig, die zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Die Ausnutzung erfordert eine Benutzerinteraktion: Das Opfer muss eine bösartige Datei öffnen. CVSS-Basiswert: 7.8 (Hoch).

Photoshop Desktop in Version 26.8.1 und früher ist von einem Heap-basierten Pufferüberlauf betroffen, der zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Für die Ausnutzung ist eine Benutzerinteraktion erforderlich, da das Opfer eine bösartige Datei öffnen muss. CVSS-Basiswert: 7.8 (Hoch).

InDesign Desktop in den Versionen 20.5, 19.5.5 und aelter ist von einer Use-after-Free-Schwachstelle betroffen, die zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Zur Ausnutzung ist eine Benutzerinteraktion erforderlich, indem das Opfer eine boesartige Datei öffnet. CVSS-Basiswert: 7.8 (Hoch).

InCopy in den Versionen 20.5, 19.5.5 und früher ist laut NVD von einem Heap-basierten Pufferüberlauf betroffen, der zur Ausführung beliebigen Codes im Kontext des aktuellen Nutzers führen kann. Zur Ausnutzung muss ein Opfer eine bösartige Datei öffnen. CVSS-Basiswert: 7.8 (Hoch).

Adobe Illustrator in den Versionen 28.7.10, 29.8.2 und älter ist von einer Heap-basierten Buffer-Overflow-Schwachstelle betroffen, die zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Für die Ausnutzung ist eine Benutzerinteraktion erforderlich, da das Opfer eine bösartige Datei öffnen muss. CVSS-Basiswert: 7.8 (Hoch).

InDesign Desktop in den Versionen 20.5, 19.5.5 und älter ist von einem Heap-basierten Pufferüberlauf betroffen, der zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Für die Ausnutzung ist eine Benutzerinteraktion erforderlich: Ein Opfer muss eine präparierte Datei öffnen. CVSS-Basiswert: 7.8 (Hoch).