Apple (macOS/iOS) Seite 31

Eine Schwachstelle im State Management von macOS kann von einer App ausgenutzt werden, um Root-Rechte zu erlangen. Laut CVSS-Vektor erfolgt der Angriff lokal und erfordert Benutzerinteraktion, jedoch keine besonderen Rechte. Das Problem wurde laut Apple durch verbessertes State Management behoben. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: auf macOS Sequoia 15.6 bzw. macOS Sonoma 14.7.7 aktualisieren.

Die JavaScript-Engine V8 von Google Chrome weist einen Typenverwechslungsfehler (Type Confusion) auf. Ein entfernter Angreifer konnte über eine präparierte HTML-Seite eine Speicherbeschädigung (Heap Corruption) herbeiführen und dadurch potenziell Schadcode ausführen. Betroffen sind Chrome-Versionen vor 138.0.7204.168. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Update auf Google Chrome 138.0.7204.168 oder neuer.

In der JavaScript-Engine V8 von Google Chrome vor Version 138.0.7204.168 besteht eine Type-Confusion-Schwachstelle. Ein entfernter Angreifer kann darüber über eine speziell gestaltete HTML-Seite eine Heap-Beschädigung auslösen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf Chrome 138.0.7204.168 oder neuer aktualisieren.

Adobe InDesign Desktop in den Versionen 19.5.3 und älter ist von einer Schwachstelle durch Zugriff auf einen nicht initialisierten Zeiger betroffen, die zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Für die Ausnutzung ist eine Benutzerinteraktion erforderlich, da das Opfer eine bösartige Datei öffnen muss. CVSS-Basiswert: 7.8 (Hoch).

Adobe InCopy in den Versionen 20.3, 19.5.3 und älter ist von einer Heap-basierten Buffer-Overflow-Schwachstelle betroffen, die zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Für die Ausnutzung ist eine Benutzerinteraktion erforderlich, da das Opfer eine bösartige Datei öffnen muss. CVSS-Basiswert: 7.8 (Hoch).

Illustrator in den Versionen 28.7.6, 29.5.1 und aelter ist von einer Out-of-bounds-Write-Schwachstelle betroffen, die zu beliebiger Codeausfuehrung im Kontext des aktuellen Benutzers fuehren kann. Die Ausnutzung erfordert Benutzerinteraktion, da ein Opfer eine boesartige Datei oeffnen muss. CVSS-Basiswert: 7.8 (Hoch).

Adobe Illustrator in Version 28.7.6, 29.5.1 und früher ist für einen Stack-basierten Buffer Overflow anfällig, der zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Die Ausnutzung erfordert eine Benutzerinteraktion: Das Opfer muss eine bösartige Datei öffnen. CVSS-Basiswert: 7.8 (Hoch).

Illustrator in den Versionen 28.7.6, 29.5.1 und früher ist laut NVD von einem Stack-basierten Pufferüberlauf betroffen, der zur Ausführung beliebigen Codes im Kontext des aktuellen Nutzers führen kann. Zur Ausnutzung muss ein Opfer eine bösartige Datei öffnen. CVSS-Basiswert: 7.8 (Hoch).

Illustrator in den Versionen 28.7.6, 29.5.1 und früher ist von einem Integer-Überlauf (Wraparound) betroffen, der zu beliebiger Codeausführung im Kontext des aktuellen Benutzers führen kann. Für eine erfolgreiche Ausnutzung ist eine Benutzerinteraktion erforderlich, da das Opfer eine bösartige Datei öffnen muss. CVSS-Basiswert: 7.8 (Hoch).

Adobe Illustrator in den Versionen 28.7.6, 29.5.1 und älter ist von einer Integer-Underflow-Schwachstelle betroffen, die zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Für die Ausnutzung ist eine Benutzerinteraktion erforderlich, da das Opfer eine bösartige Datei öffnen muss. CVSS-Basiswert: 7.8 (Hoch).

Dimension in den Versionen 4.1.2 und früher ist von einer Out-of-Bounds-Write-Schwachstelle betroffen, die zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Für die Ausnutzung ist eine Nutzerinteraktion erforderlich: Das Opfer muss eine bösartige Datei öffnen. CVSS-Basiswert: 7.8 (Hoch).

InDesign Desktop in den Versionen 19.5.3 und älter ist von einem heap-basierten Pufferüberlauf betroffen, der zur Ausführung von beliebigem Code im Kontext des angemeldeten Benutzers führen kann. Die Ausnutzung erfordert eine Benutzerinteraktion: Das Opfer muss eine präparierte Datei öffnen. CVSS-Basiswert: 7.8 (Hoch). Ein aktiver Missbrauch ist laut Quelldaten nicht bekannt.

InDesign Desktop ist in den Versionen 19.5.3 und früher von einer Out-of-bounds-Write-Schwachstelle betroffen, die zur Ausführung beliebigen Codes im Kontext des angemeldeten Benutzers führen kann. Die Ausnutzung erfordert eine Benutzerinteraktion: Das Opfer muss eine bösartige Datei öffnen (Vektor CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H). CVSS-Basiswert: 7.8 (Hoch).

InCopy ist in den Versionen 20.3, 19.5.3 und früher von einer Schwachstelle vom Typ Access of Uninitialized Pointer betroffen, die zur Ausführung beliebigen Codes im Kontext des angemeldeten Benutzers führen kann. Die Ausnutzung erfordert eine Benutzerinteraktion: Das Opfer muss eine bösartige Datei öffnen (Vektor CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H). CVSS-Basiswert: 7.8 (Hoch).

InCopy in den Versionen 20.3, 19.5.3 und früher ist von einem Integer Underflow (Wrap or Wraparound) betroffen, der die Ausführung von beliebigem Code im Kontext des angemeldeten Benutzers ermöglichen kann. Die Ausnutzung erfordert eine Benutzerinteraktion: Das Opfer muss eine bösartig präparierte Datei öffnen. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: auf eine fehlerbereinigte InCopy-Version aktualisieren und Dateien aus nicht vertrauenswürdigen Quellen nicht öffnen.

InDesign Desktop in den Versionen 19.5.3 und früher ist von einem Heap-basierten Pufferüberlauf betroffen, der zur Ausführung beliebigen Codes im Kontext des angemeldeten Benutzers führen kann. Die Ausnutzung erfordert Benutzerinteraktion: Das Opfer muss eine präparierte Datei öffnen. Besondere Rechte sind für den Angriff nicht erforderlich. CVSS-Basiswert: 7.8 (Hoch).

InDesign Desktop in den Versionen 19.5.3 und früher ist von einem Heap-basierten Pufferüberlauf betroffen, der die Ausführung von beliebigem Code im Kontext des angemeldeten Benutzers ermöglichen kann. Die Ausnutzung erfordert eine Benutzerinteraktion: Das Opfer muss eine bösartig präparierte Datei öffnen. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: auf eine fehlerbereinigte InDesign-Version aktualisieren und Dateien aus nicht vertrauenswürdigen Quellen nicht öffnen.

InDesign Desktop ist in den Versionen 19.5.3 und früher von einer Integer-Underflow-Schwachstelle (Wrap or Wraparound) betroffen, die zur Ausführung beliebigen Codes im Kontext des angemeldeten Benutzers führen kann. Die Ausnutzung erfordert eine Benutzerinteraktion: Das Opfer muss eine bösartige Datei öffnen (Vektor CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H). CVSS-Basiswert: 7.8 (Hoch).

Illustrator in den Versionen 28.7.6, 29.5.1 und früher ist von einer Schwachstelle des Typs Access of Uninitialized Pointer betroffen. Sie kann zur Ausführung beliebigen Codes im Kontext des angemeldeten Benutzers führen. Zur Ausnutzung ist Benutzerinteraktion erforderlich: Das Opfer muss eine bösartige Datei öffnen. CVSS-Basiswert: 7.8 (Hoch).

Illustrator ist in den Versionen 28.7.6, 29.5.1 und früher von einer Out-of-Bounds-Write-Schwachstelle betroffen. Sie kann zur Ausführung beliebigen Codes im Kontext des angemeldeten Benutzers führen. Für eine erfolgreiche Ausnutzung ist eine Benutzerinteraktion nötig: Das Opfer muss eine bösartige Datei öffnen. CVSS-Basiswert: 7.8 (Hoch).

In der Anwendung Laundry 2.3.0 für Linux und macOS erlaubt eine Cross-Site-Request-Forgery-Schwachstelle die Übernahme eines Kontos. CVSS-Basiswert: 8.8 (Hoch).

Die Warnung vor ausführbaren Dateien warnte Benutzer nicht, bevor Dateien mit der Erweiterung terminal geöffnet wurden. Dieser Fehler betrifft nur Firefox für macOS, andere Versionen von Firefox sind nicht betroffen. Die Schwachstelle wurde in Firefox 140, Firefox ESR 128.12, Thunderbird 140 und Thunderbird 128.12 behoben. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Update auf Firefox 140.

IBM webMethods Integration Server (10.5, 10.7, 10.11 und 10.15) ist bei der Verarbeitung von XML-Daten anfällig für eine XML-External-Entity-Injection (XXE). Ein entfernter, authentifizierter Angreifer kann die Schwachstelle ausnutzen, um beliebige Befehle auszuführen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Die vom Hersteller bereitgestellten Sicherheitsupdates einspielen.

Acrobat Reader in den Versionen 24.001.30235, 20.005.30763, 25.001.20521 und aelter ist von einer Use-after-free-Schwachstelle betroffen, die zu beliebiger Codeausfuehrung im Kontext des aktuellen Benutzers fuehren kann. Die Ausnutzung erfordert Benutzerinteraktion, da ein Opfer eine boesartige Datei oeffnen muss. CVSS-Basiswert: 7.8 (Hoch).

Adobe Acrobat Reader in den Versionen 24.001.30235, 20.005.30763, 25.001.20521 und früher ist für eine Use-after-free-Schwachstelle anfällig, die zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Die Ausnutzung erfordert eine Benutzerinteraktion: Das Opfer muss eine bösartige Datei öffnen. CVSS-Basiswert: 7.8 (Hoch).

InDesign Desktop in den Versionen ID20.2, ID19.5.3 und früher ist von einer Use-After-Free-Schwachstelle betroffen, die zur Ausführung von beliebigem Code im Kontext des aktuellen Benutzers führen kann. Zur Ausnutzung ist eine Benutzerinteraktion nötig: Das Opfer muss eine manipulierte Datei öffnen. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf eine fehlerbereinigte Version.

InDesign Desktop in den Versionen ID20.2, ID19.5.3 und früher ist von einem Heap-basierten Pufferüberlauf betroffen, der zur Ausführung beliebigen Codes im Kontext des angemeldeten Benutzers führen kann. Die Ausnutzung erfordert eine Nutzerinteraktion: Das Opfer muss eine präparierte Datei öffnen. CVSS-Basiswert: 7.8 (Hoch).

InCopy in den Versionen 20.2, 19.5.3 und früher ist von einem Integer Overflow bzw. Wraparound betroffen, der zur Ausführung beliebigen Codes im Kontext des angemeldeten Benutzers führen kann. Die Ausnutzung erfordert eine Nutzerinteraktion: Das Opfer muss eine präparierte Datei öffnen. CVSS-Basiswert: 7.8 (Hoch).

Acrobat Reader ist in den Versionen 24.001.30235, 20.005.30763, 25.001.20521 und früher von einer Use-after-free-Schwachstelle betroffen, die zur Ausführung beliebigen Codes im Kontext des angemeldeten Benutzers führen kann. Die Ausnutzung erfordert eine Benutzerinteraktion: Das Opfer muss eine bösartige Datei öffnen (Vektor CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H). CVSS-Basiswert: 7.8 (Hoch).

InDesign Desktop in den Versionen ID20.2, ID19.5.3 und älter ist von einer Out-of-Bounds-Write-Schwachstelle betroffen, die zur Ausführung von beliebigem Code im Kontext des angemeldeten Benutzers führen kann. Die Ausnutzung erfordert eine Benutzerinteraktion: Das Opfer muss eine präparierte Datei öffnen. CVSS-Basiswert: 7.8 (Hoch). Ein aktiver Missbrauch ist laut Quelldaten nicht bekannt.

Acrobat Reader in den Versionen 24.001.30235, 20.005.30763, 25.001.20521 und älter ist von einer Use-after-Free-Schwachstelle betroffen, die zur Ausführung von beliebigem Code im Kontext des angemeldeten Benutzers führen kann. Die Ausnutzung erfordert eine Benutzerinteraktion: Das Opfer muss eine präparierte Datei öffnen. CVSS-Basiswert: 7.8 (Hoch). Ein aktiver Missbrauch ist laut Quelldaten nicht bekannt.

Acrobat Reader in den Versionen 24.001.30235, 20.005.30763, 25.001.20521 und früher ist von einer Use-After-Free-Schwachstelle betroffen, die die Ausführung von beliebigem Code im Kontext des angemeldeten Benutzers ermöglichen kann. Die Ausnutzung erfordert eine Benutzerinteraktion: Das Opfer muss eine bösartig präparierte Datei öffnen. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: Acrobat Reader auf eine fehlerbereinigte Version aktualisieren und PDF-Dateien aus nicht vertrauenswürdigen Quellen nicht öffnen.

Acrobat Reader ist in den Versionen 24.001.30235, 20.005.30763, 25.001.20521 und früher von einer Out-of-bounds-Write-Schwachstelle betroffen, die zur Ausführung beliebigen Codes im Kontext des angemeldeten Benutzers führen kann. Die Ausnutzung erfordert eine Benutzerinteraktion: Das Opfer muss eine bösartige Datei öffnen (Vektor CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H). CVSS-Basiswert: 7.8 (Hoch).

InDesign Desktop in den Versionen ID20.2, ID19.5.3 und früher ist von einer Out-of-Bounds-Write-Schwachstelle betroffen, die zur Ausführung beliebigen Codes im Kontext des angemeldeten Benutzers führen kann. Die Ausnutzung erfordert Benutzerinteraktion: Das Opfer muss eine präparierte Datei öffnen. Besondere Rechte sind für den Angriff nicht erforderlich. CVSS-Basiswert: 7.8 (Hoch).

InDesign Desktop in den Versionen ID20.2, ID19.5.3 und früher ist von einer Out-of-Bounds-Write-Schwachstelle betroffen, die die Ausführung von beliebigem Code im Kontext des angemeldeten Benutzers ermöglichen kann. Die Ausnutzung erfordert eine Benutzerinteraktion: Das Opfer muss eine bösartig präparierte Datei öffnen. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: auf eine fehlerbereinigte InDesign-Version aktualisieren und Dateien aus nicht vertrauenswürdigen Quellen nicht öffnen.

InCopy in den Versionen 20.2, 19.5.3 und älter ist von einem heap-basierten Pufferüberlauf betroffen, der zur Ausführung von beliebigem Code im Kontext des angemeldeten Benutzers führen kann. Die Ausnutzung erfordert eine Benutzerinteraktion: Das Opfer muss eine präparierte Datei öffnen. CVSS-Basiswert: 7.8 (Hoch). Ein aktiver Missbrauch ist laut Quelldaten nicht bekannt.

In macOS wurde eine Umgehung der Datei-Quarantäne (File Quarantine) durch zusätzliche Prüfungen behoben. Über die Schwachstelle konnte eine App aus ihrer Sandbox ausbrechen. Behoben ist das Problem in macOS Sequoia 15.4, macOS Sonoma 14.7.5 und macOS Ventura 13.7.5. CVSS-Basiswert: 8.2 (Hoch). Empfohlene Massnahme: Aktualisierung auf die vom Hersteller bereitgestellte fehlerbereinigte Version.

Laut NVD kann die Verarbeitung von bösartig gestalteten Webinhalten zu einer Speicherbeschädigung führen; das Problem wurde durch verbesserte Prüfungen behoben. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf Safari 18.3, iOS/iPadOS 18.3, macOS Sequoia 15.3, tvOS 18.3, visionOS 2.3 oder watchOS 11.3 aktualisieren.

Bridge in den Versionen 15.0.3, 14.1.6 und früher ist von einer Schwachstelle durch den Zugriff auf einen uninitialisierten Zeiger betroffen, die zur Ausführung von beliebigem Code im Kontext des aktuellen Benutzers führen kann. Zur Ausnutzung ist eine Benutzerinteraktion nötig: Das Opfer muss eine manipulierte Datei öffnen. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf eine fehlerbereinigte Version.

Adobe Bridge in den Versionen 15.0.3, 14.1.6 und älter ist von einer Integer-Underflow-Schwachstelle betroffen, die zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Für die Ausnutzung ist eine Benutzerinteraktion erforderlich, da das Opfer eine bösartige Datei öffnen muss. CVSS-Basiswert: 7.8 (Hoch).

Animate in den Versionen 24.0.8, 23.0.11 und aelter ist von einem Integer-Ueberlauf (Integer Overflow or Wraparound) betroffen, der zu beliebiger Codeausfuehrung im Kontext des aktuellen Benutzers fuehren kann. Die Ausnutzung erfordert Benutzerinteraktion, da ein Opfer eine boesartige Datei oeffnen muss. CVSS-Basiswert: 7.8 (Hoch).

Adobe Animate in Version 24.0.8, 23.0.11 und früher ist für eine Schwachstelle durch Zugriff auf einen nicht initialisierten Zeiger anfällig, die zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Die Ausnutzung erfordert eine Benutzerinteraktion: Das Opfer muss eine bösartige Datei öffnen. CVSS-Basiswert: 7.8 (Hoch).

Substance3D - Stager in Version 3.1.1 und früher ist von einer Use-After-Free-Schwachstelle betroffen, die zur Ausführung von beliebigem Code im Kontext des aktuellen Benutzers führen kann. Zur Ausnutzung ist eine Benutzerinteraktion nötig: Das Opfer muss eine manipulierte Datei öffnen. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf eine fehlerbereinigte Version.

Adobe Substance3D Stager in den Versionen 3.1.1 und älter ist von einer Use-after-free-Schwachstelle betroffen, die zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Für die Ausnutzung ist eine Benutzerinteraktion erforderlich, da das Opfer eine bösartige Datei öffnen muss. CVSS-Basiswert: 7.8 (Hoch).

In .NET, Visual Studio und den Build Tools for Visual Studio erlaubt eine externe Kontrolle über Dateinamen bzw. Dateipfade einem autorisierten Angreifer, über das Netzwerk Spoofing durchzuführen. CVSS-Basiswert: 8 (Hoch).

Dreamweaver Desktop in den Versionen 21.4 und früher ist von einer Type-Confusion-Schwachstelle (Access of Resource Using Incompatible Type) betroffen, die zur Ausführung von beliebigem Code im Kontext des angemeldeten Benutzers führen kann. Für die Ausnutzung ist eine Benutzerinteraktion erforderlich: Das Opfer muss eine präparierte Datei öffnen. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: auf eine Version neuer als 21.4 aktualisieren.

Photoshop Desktop in den Versionen 26.5, 25.12.2 und früher ist von einem Integer Underflow (Wrap or Wraparound) betroffen, der zur Ausführung von beliebigem Code im Kontext des angemeldeten Benutzers führen kann. Für die Ausnutzung ist eine Benutzerinteraktion erforderlich: Das Opfer muss eine präparierte Datei öffnen. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: auf eine Version neuer als 26.5 beziehungsweise 25.12.2 aktualisieren.

Photoshop Desktop in den Versionen 26.5, 25.12.2 und früher ist von einer Integer-Overflow-Schwachstelle betroffen, die zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Für die Ausnutzung ist eine Nutzerinteraktion erforderlich: Das Opfer muss eine bösartige Datei öffnen. CVSS-Basiswert: 7.8 (Hoch).

InDesign Desktop in den Versionen ID19.5.2, ID20.2 und früher ist von einer Out-of-Bounds-Write-Schwachstelle betroffen, die zur Ausführung beliebigen Codes im Kontext des angemeldeten Benutzers führen kann. Für die Ausnutzung ist eine Benutzerinteraktion erforderlich: Das Opfer muss eine bösartige Datei öffnen. CVSS-Basiswert: 7.8 (Hoch).

Illustrator in den Versionen 29.3, 28.7.5 und früher ist von einem Heap-based Buffer Overflow betroffen, der zur Ausführung von beliebigem Code im Kontext des angemeldeten Benutzers führen kann. Für die Ausnutzung ist eine Benutzerinteraktion erforderlich: Das Opfer muss eine präparierte Datei öffnen. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: auf eine Version neuer als 29.3 beziehungsweise 28.7.5 aktualisieren.