Apple (macOS/iOS) Seite 30

Ein Berechtigungsproblem in macOS kann es einer bösartigen App ermöglichen, Root-Rechte zu erlangen. Apple hat das Problem durch zusätzliche Einschränkungen behoben. CVSS-Basiswert: 7.8 (Hoch). Ein aktiver Missbrauch ist laut Quelldaten nicht bekannt. Empfohlene Massnahme: Update auf macOS Sequoia 15.6.

In der ANGLE-Komponente von Google Chrome vor Version 139.0.7258.154 besteht eine Use-after-free-Schwachstelle. Ein aus der Ferne angreifender Akteur kann über eine präparierte HTML-Seite eine Heap-Korruption auslösen und diese möglicherweise ausnutzen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf Google Chrome 139.0.7258.154 oder neuer.

Das NVIDIA NeMo Framework enthält auf allen Plattformen eine Schwachstelle in der Export- und Deploy-Komponente, bei der von einem Angreifer präparierte Daten eine Code-Injection verursachen können. Eine erfolgreiche Ausnutzung kann zu Codeausführung, Rechteausweitung, Offenlegung von Informationen und Datenmanipulation führen. CVSS-Basiswert: 7.8 (Hoch). Daten aus nicht vertrauenswürdigen Quellen sollten in dieser Komponente nur mit Vorsicht verarbeitet werden.

Ein Out-of-Bounds-Write in V8 in Google Chrome vor 139.0.7258.138 erlaubt einem entfernten Angreifer über eine praeparierte HTML-Seite potenziell die Ausnutzung von Heap-Korruption. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Update auf Google Chrome 139.0.7258.138 oder neuer.

Der Installer des F5 VPN Browser-Clients für macOS prüft die Dateiintegrität nicht. Ein lokaler, authentifizierter Angreifer mit Zugriff auf das lokale Dateisystem kann ihn dadurch durch ein bösartiges Installationspaket ersetzen. Laut Quelle werden Softwareversionen ohne technischen Support (EoTS) nicht bewertet. CVSS-Basiswert: 7.3 (Hoch). Betroffen sind F5 und Apple (macOS/iOS) als Zielplattform.

In libaom in Google Chrome vor Version 139.0.7258.127 ermöglichte ein Heap-Pufferüberlauf einem entfernten Angreifer über eine kuratierte Abfolge von Gesten eine mögliche Ausnutzung der Heap-Korruption. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf Chrome 139.0.7258.127 oder neuer.

Eine Race Condition in der V8-Engine von Google Chrome vor Version 139.0.7258.127 erlaubte einem entfernten Angreifer, über eine präparierte HTML-Seite beliebigen Code innerhalb der Sandbox auszuführen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Auf Chrome 139.0.7258.127 oder neuer aktualisieren.

Ein Use-after-Free in der Aura-Komponente von Google Chrome vor Version 139.0.7258.127 erlaubte es einem entfernten Angreifer, der einen Nutzer zu bestimmten UI-Gesten verleitet, über eine präparierte HTML-Seite eine Heap-Beschädigung auszunutzen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Update auf Chrome 139.0.7258.127 oder neuer.

In Google Chrome vor Version 139.0.7258.127 erlaubte laut NVD ein Out-of-Bounds-Write in der Komponente ANGLE einem entfernten Angreifer über eine präparierte HTML-Seite einen Speicherzugriff ausserhalb der Grenzen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf Chrome 139.0.7258.127 oder neuer aktualisieren.

Die NVIDIA-NeMo-Bibliothek enthält auf allen Plattformen eine Schwachstelle in der Modell-Ladekomponente: Ein Angreifer kann über .nemo-Dateien mit bösartig präparierten Metadaten eine Code-Injection auslösen. Eine erfolgreiche Ausnutzung kann zu Remote-Code-Ausführung und Datenmanipulation führen. CVSS-Basiswert: 7.8 (Hoch).

Das NVIDIA NeMo Framework enthält auf allen Plattformen eine Schwachstelle, bei der ein Benutzer eine Deserialisierung nicht vertrauenswürdiger Daten auslösen kann. Eine erfolgreiche Ausnutzung kann zu Codeausführung und Datenmanipulation führen. CVSS-Basiswert: 7.8 (Hoch). Serialisierte Daten aus nicht vertrauenswürdigen Quellen sollten nicht geladen werden.

In Adobe Animate (Versionen 23.0.12, 24.0.9 und früher) besteht eine Use-after-free-Schwachstelle, über die sich beliebiger Code im Kontext des aktuell angemeldeten Benutzers ausführen lässt. Die Ausnutzung setzt eine Benutzerinteraktion voraus, da das Opfer eine präparierte Datei öffnen muss. CVSS-Basiswert: 7.8 (Hoch).

In Adobe InDesign Desktop (Versionen 20.4, 19.5.4 und früher) besteht eine Out-of-Bounds-Write-Schwachstelle, über die sich beliebiger Code im Kontext des aktuell angemeldeten Benutzers ausführen lässt. Die Ausnutzung setzt eine Benutzerinteraktion voraus, da das Opfer eine präparierte Datei öffnen muss. CVSS-Basiswert: 7.8 (Hoch).

InDesign Desktop in den Versionen 20.4, 19.5.4 und früher ist laut NVD von einem Heap-basierten Pufferüberlauf betroffen, der zur Ausführung beliebigen Codes im Kontext des aktuellen Nutzers führen kann. Zur Ausnutzung muss ein Opfer eine bösartige Datei öffnen. CVSS-Basiswert: 7.8 (Hoch).

InDesign Desktop in den Versionen 20.4, 19.5.4 und aelter ist von einem heap-basierten Pufferueberlauf betroffen, der zu beliebiger Codeausfuehrung im Kontext des aktuellen Benutzers fuehren kann. Die Ausnutzung erfordert Benutzerinteraktion, da ein Opfer eine boesartige Datei oeffnen muss. CVSS-Basiswert: 7.8 (Hoch).

Adobe InDesign Desktop in Version 20.4, 19.5.4 und früher ist für eine Out-of-Bounds-Write-Schwachstelle anfällig, die zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Die Ausnutzung erfordert eine Benutzerinteraktion: Das Opfer muss eine bösartige Datei öffnen. CVSS-Basiswert: 7.8 (Hoch).

InCopy in den Versionen 20.4, 19.5.4 und früher ist von einer Out-of-bounds-Write-Schwachstelle betroffen, die zu beliebiger Codeausführung im Kontext des aktuellen Benutzers führen kann. Für eine erfolgreiche Ausnutzung ist eine Benutzerinteraktion erforderlich, da das Opfer eine bösartige Datei öffnen muss. CVSS-Basiswert: 7.8 (Hoch).

InCopy in den Versionen 20.4, 19.5.4 und aelter ist von einem Heap-basierten Pufferüberlauf betroffen, der zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Für die Ausnutzung ist eine Benutzerinteraktion erforderlich: Ein Opfer muss eine praeparierte Datei öffnen. CVSS-Basiswert: 7.8 (Hoch).

InCopy in den Versionen 20.4, 19.5.4 und aelter ist von einer Heap-basierten Pufferüberlauf-Schwachstelle betroffen, die zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Zur Ausnutzung ist eine Benutzerinteraktion erforderlich, indem das Opfer eine boesartige Datei öffnet. CVSS-Basiswert: 7.8 (Hoch).

Substance3D - Stager in Version 3.1.3 und früher ist laut NVD von einer Out-of-Bounds-Write-Schwachstelle betroffen, die zur Ausführung beliebigen Codes im Kontext des aktuellen Nutzers führen kann. Zur Ausnutzung muss ein Opfer eine bösartige Datei öffnen. CVSS-Basiswert: 7.8 (Hoch).

Adobe InCopy in den Versionen 20.4, 19.5.4 und älter ist von einer Heap-basierten Buffer-Overflow-Schwachstelle betroffen, die zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Für die Ausnutzung ist eine Benutzerinteraktion erforderlich, da das Opfer eine bösartige Datei öffnen muss. CVSS-Basiswert: 7.8 (Hoch).

InDesign Desktop in den Versionen 20.4, 19.5.4 und früher ist von einer Use-after-free-Schwachstelle betroffen, die zu beliebiger Codeausführung im Kontext des aktuellen Benutzers führen kann. Für eine erfolgreiche Ausnutzung ist eine Benutzerinteraktion erforderlich, da das Opfer eine bösartige Datei öffnen muss. CVSS-Basiswert: 7.8 (Hoch).

Illustrator in den Versionen 28.7.8, 29.6.1 und früher ist von einer Out-of-Bounds-Write-Schwachstelle betroffen, die zur Ausführung beliebigen Codes im Kontext des angemeldeten Benutzers führen kann. Zur Ausnutzung ist Benutzerinteraktion nötig: Das Opfer muss eine bösartige Datei öffnen. CVSS-Basiswert: 7.8 (Hoch).

Illustrator in den Versionen 28.7.8, 29.6.1 und früher ist von einem stackbasierten Pufferüberlauf betroffen, der zur Ausführung beliebigen Codes im Kontext des angemeldeten Benutzers führen kann. Die Ausnutzung erfordert Nutzerinteraktion: Das Opfer muss eine bösartige Datei öffnen. CVSS-Basiswert: 7.8 (Hoch). Es liegen keine Hinweise auf aktive Ausnutzung (CISA KEV) oder einen Einsatz in Ransomware-Kampagnen vor.

Photoshop Desktop in den Versionen 25.12.3, 26.8 und früher enthält eine Out-of-Bounds-Write-Schwachstelle, die zur Ausführung beliebigen Codes im Kontext des angemeldeten Benutzers führen kann. Zur Ausnutzung ist Benutzerinteraktion erforderlich: Das Opfer muss eine bösartige Datei öffnen. CVSS-Basiswert: 7.8 (Hoch).

InDesign Desktop in den Versionen 20.4, 19.5.4 und früher ist von einem Heap-basierten Pufferüberlauf betroffen. Die Schwachstelle kann zur Ausführung beliebigen Codes im Kontext des angemeldeten Benutzers führen. Zur Ausnutzung ist Benutzerinteraktion erforderlich: Das Opfer muss eine bösartige Datei öffnen. CVSS-Basiswert: 7.8 (Hoch).

InDesign Desktop ist laut NVD in den Versionen 20.4, 19.5.4 und früher von einer Access-of-Uninitialized-Pointer-Schwachstelle betroffen, die zur Ausführung beliebigen Codes im Kontext des angemeldeten Benutzers führen kann. Für eine Ausnutzung ist Benutzerinteraktion erforderlich: Das Opfer muss eine bösartig präparierte Datei öffnen. Der CVSS-Vektor weist die Lücke als lokal ausnutzbar aus, ohne erforderliche Privilegien, mit vollständiger Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. CVSS-Basiswert: 7.8 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor.

InDesign Desktop in den Versionen 20.4, 19.5.4 und früher ist von einer Out-of-Bounds-Write-Schwachstelle betroffen, die zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Zur Ausnutzung ist Benutzerinteraktion erforderlich: Das Opfer muss eine bösartige Datei öffnen. Vertraulichkeit, Integrität und Verfügbarkeit sind in hohem Mass betroffen (CVSS-Vektor AV:L/AC:L/PR:N/UI:R). CVSS-Basiswert: 7.8 (Hoch).

InDesign Desktop ist in den Versionen 20.4, 19.5.4 und früher von einer Out-of-Bounds-Write-Schwachstelle betroffen. Sie kann zur Ausführung beliebigen Codes im Kontext des angemeldeten Benutzers führen. Für eine erfolgreiche Ausnutzung ist eine Benutzerinteraktion nötig: Das Opfer muss eine bösartige Datei öffnen. CVSS-Basiswert: 7.8 (Hoch).

InCopy ist laut NVD in den Versionen 20.4, 19.5.4 und früher von einer Out-of-bounds-Write-Schwachstelle betroffen, die zur Ausführung beliebigen Codes im Kontext des angemeldeten Benutzers führen kann. Für eine Ausnutzung ist Benutzerinteraktion erforderlich: Das Opfer muss eine bösartig präparierte Datei öffnen. Der CVSS-Vektor weist die Lücke als lokal ausnutzbar aus, ohne erforderliche Privilegien, mit vollständiger Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. CVSS-Basiswert: 7.8 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor.

InCopy in den Versionen 20.4, 19.5.4 und früher ist von einer Out-of-Bounds-Write-Schwachstelle betroffen, die zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Zur Ausnutzung ist Benutzerinteraktion erforderlich: Das Opfer muss eine bösartige Datei öffnen. Vertraulichkeit, Integrität und Verfügbarkeit sind in hohem Mass betroffen (CVSS-Vektor AV:L/AC:L/PR:N/UI:R). CVSS-Basiswert: 7.8 (Hoch).

InCopy in den Versionen 20.4, 19.5.4 und früher ist von einer Out-of-Bounds-Write-Schwachstelle betroffen, die zur Ausführung beliebigen Codes im Kontext des angemeldeten Benutzers führen kann. Zur Ausnutzung ist Benutzerinteraktion nötig: Das Opfer muss eine bösartige Datei öffnen. CVSS-Basiswert: 7.8 (Hoch).

InCopy in den Versionen 20.4, 19.5.4 und früher ist von einer Use-after-free-Schwachstelle betroffen, die zur Ausführung beliebigen Codes im Kontext des angemeldeten Benutzers führen kann. Die Ausnutzung erfordert Nutzerinteraktion: Das Opfer muss eine bösartige Datei öffnen. CVSS-Basiswert: 7.8 (Hoch). Es liegen keine Hinweise auf aktive Ausnutzung (CISA KEV) oder einen Einsatz in Ransomware-Kampagnen vor.

InDesign Desktop ist laut NVD in den Versionen 20.4, 19.5.4 und früher von einer Use-After-Free-Schwachstelle betroffen, die zur Ausführung beliebigen Codes im Kontext des angemeldeten Benutzers führen kann. Für eine Ausnutzung ist Benutzerinteraktion erforderlich: Das Opfer muss eine bösartig präparierte Datei öffnen. Der CVSS-Vektor weist die Lücke als lokal ausnutzbar aus, ohne erforderliche Privilegien, mit vollständiger Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. CVSS-Basiswert: 7.8 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor.

InDesign Desktop in den Versionen 20.4, 19.5.4 und früher ist von einer Use-After-Free-Schwachstelle betroffen, die zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Zur Ausnutzung ist Benutzerinteraktion erforderlich: Das Opfer muss eine bösartige Datei öffnen. Vertraulichkeit, Integrität und Verfügbarkeit sind in hohem Mass betroffen (CVSS-Vektor AV:L/AC:L/PR:N/UI:R). CVSS-Basiswert: 7.8 (Hoch).

Die macOS-Version von GIMP bündelt einen Python-Interpreter, der die vom Benutzer der Hauptanwendung gewährten Transparency-, Consent- und Control-Berechtigungen (TCC) erbt. Ein Angreifer mit lokalem Benutzerzugriff kann diesen Interpreter mit beliebigen Befehlen oder Skripten aufrufen und über die bereits gewährten TCC-Berechtigungen ohne Benutzerabfrage auf Dateien in geschützten Ordnern zugreifen. Zugriffe darüber hinaus lösen zwar eine Abfrage aus, erscheinen aber im Namen von GIMP und können die Absicht des Angreifers verschleiern. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: auf GIMP Version 3.1.4.2 aktualisieren, in der das Problem behoben ist.

In Google Chrome vor Version 139.0.7258.66 besteht eine Use-after-free-Schwachstelle in der Komponente Extensions. Ein entfernter Angreifer kann über eine speziell praeparierte Chrome-Erweiterung eine Heap-Korruption herbeiführen und diese möglicherweise ausnutzen. Der Fehler wurde von Chromium mit dem Schweregrad Medium bewertet. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Update auf 139.0.7258.66.

In der Cast-Komponente von Google Chrome besteht ein Use-after-free. Ein entfernter Angreifer kann über eine präparierte HTML-Seite eine Heap-Korruption auslösen und potenziell ausnutzen. Der Fehler betrifft Versionen vor 139.0.7258.66. Ein Update auf diese oder eine neuere Version behebt die Lücke. CVSS-Basiswert: 8.8 (Hoch).

Durch verbesserte Speicherverwaltung wurde in Apple-Produkten ein Problem behoben, bei dem die Verarbeitung manipulierter Web-Inhalte zu einer Speicherbeschädigung führen kann. Der Fehler ist in Safari 18.6, iOS 18.6 und iPadOS 18.6, macOS Sequoia 15.6, tvOS 18.6, visionOS 2.6 und watchOS 11.6 behoben. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf die genannten Fassungen aktualisieren.

Die Verarbeitung von böswillig gestalteten Webinhalten kann in mehreren Apple-Betriebssystemen zu einer Speicherbeschädigung (Memory Corruption) führen. Der Fehler wurde durch verbesserte Speicherbehandlung behoben und ist in Safari 18.6, iOS/iPadOS 18.6, iPadOS 17.7.9, macOS Sequoia 15.6, tvOS 18.6, visionOS 2.6 und watchOS 11.6 korrigiert. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: die genannten Apple-Aktualisierungen installieren.

Ein Logikproblem wurde durch verbesserte Einschraenkungen behoben. Eine boesartige App konnte moeglicherweise root-Rechte erlangen. Behoben in macOS Sequoia 15.6 und macOS Sonoma 14.7.7. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: auf die genannten macOS-Versionen aktualisieren.

In macOS wurde ein Logikproblem durch verbesserte Prüfungen behoben. Ohne den Fix könnte eine App root-Rechte erlangen. Der Fehler ist in macOS Sequoia 15.6, macOS Sonoma 14.7.7 und macOS Ventura 13.7.7 behoben. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: auf eine der genannten korrigierten macOS-Versionen aktualisieren.

In Apple macOS bestand ein Zugriffsproblem, durch das eine App unautorisierten Zugriff auf das lokale Netzwerk erlangen konnte. Behoben wurde es durch zusätzliche Sandbox-Beschränkungen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf macOS Sequoia 15.6, macOS Sonoma 14.7.7 oder macOS Ventura 13.7.7.

Das Problem wurde durch verbesserte Speicherverwaltung behoben. Es ist in iOS 18.6 und iPadOS 18.6, macOS Sequoia 15.6, macOS Sonoma 14.8, tvOS 18.6, visionOS 2.6 und watchOS 11.6 behoben. Die Verarbeitung einer bösartig präparierten Audiodatei kann zu einer Speicherbeschädigung führen. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf die bereitgestellten Apple-Versionen oder neuer.

In der Komponente Media Stream von Google Chrome besteht ein Use-after-free-Fehler. Ein entfernter Angreifer konnte über eine präparierte HTML-Seite eine Speicherbeschädigung (Heap Corruption) auslösen und so potenziell Schadcode ausführen. Betroffen sind Chrome-Versionen vor 138.0.7204.183. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Update auf Google Chrome 138.0.7204.183 oder neuer.

Unter Apple macOS kann eine App möglicherweise beliebigen Code ausserhalb ihrer Sandbox oder mit bestimmten erhöhten Rechten ausführen. Das Problem wurde durch verbessertes State-Management behoben. Laut CVSS-Vektor genügen einem lokalen Angreifer geringe Rechte, eine Benutzerinteraktion ist nicht erforderlich; die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit sind hoch. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf macOS Sequoia 15.3, macOS Sonoma 14.7.7 bzw. macOS Ventura 13.7.7, in denen der Fehler behoben ist.

In macOS besteht ein Berechtigungsproblem, durch das eine App Root-Rechte erlangen kann. Das Problem wurde mit zusätzlichen Einschränkungen behoben. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: Update auf macOS Sequoia 15.6, macOS Sonoma 14.7.7 oder macOS Ventura 13.7.7 einspielen.

In Apple macOS besteht ein Speicherfehler, der beim Verarbeiten einer manipulierten Datei zu einer Heap-Korruption führen kann. Das Problem wurde durch verbesserte Validierung behoben. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: Update auf macOS Sequoia 15.6 einspielen.

Ein Berechtigungsproblem in macOS kann es einer bösartigen App ermöglichen, Root-Rechte zu erlangen. Apple hat das Problem durch zusätzliche Einschränkungen behoben. Die Ausnutzung erfordert laut CVSS-Vektor eine Benutzerinteraktion. CVSS-Basiswert: 7.8 (Hoch). Ein aktiver Missbrauch ist laut Quelldaten nicht bekannt. Empfohlene Massnahme: Update auf macOS Sequoia 15.6.

Ein Fehler in der Pfadbehandlung von macOS kann von einer App ausgenutzt werden, um Root-Rechte zu erlangen. Das Problem wurde durch eine verbesserte Validierung behoben und ist in macOS Sequoia 15.6, macOS Sonoma 14.7.7 sowie macOS Ventura 13.7.7 korrigiert. Ein lokaler Angreifer mit niedrigen Rechten kann Vertraulichkeit, Integrität und Verfügbarkeit in hohem Mass beeinträchtigen. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: die genannten macOS-Updates einspielen.