Apple (macOS/iOS) Seite 31

In macOS wurde ein Logikproblem durch verbesserte Prüfungen behoben. Ohne den Fix könnte eine App root-Rechte erlangen. Der Fehler ist in macOS Sequoia 15.6, macOS Sonoma 14.7.7 und macOS Ventura 13.7.7 behoben. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: auf eine der genannten korrigierten macOS-Versionen aktualisieren.

In Apple macOS bestand ein Zugriffsproblem, durch das eine App unautorisierten Zugriff auf das lokale Netzwerk erlangen konnte. Behoben wurde es durch zusätzliche Sandbox-Beschränkungen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf macOS Sequoia 15.6, macOS Sonoma 14.7.7 oder macOS Ventura 13.7.7.

Das Problem wurde durch verbesserte Speicherverwaltung behoben. Es ist in iOS 18.6 und iPadOS 18.6, macOS Sequoia 15.6, macOS Sonoma 14.8, tvOS 18.6, visionOS 2.6 und watchOS 11.6 behoben. Die Verarbeitung einer bösartig präparierten Audiodatei kann zu einer Speicherbeschädigung führen. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf die bereitgestellten Apple-Versionen oder neuer.

In der Komponente Media Stream von Google Chrome besteht ein Use-after-free-Fehler. Ein entfernter Angreifer konnte über eine präparierte HTML-Seite eine Speicherbeschädigung (Heap Corruption) auslösen und so potenziell Schadcode ausführen. Betroffen sind Chrome-Versionen vor 138.0.7204.183. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Update auf Google Chrome 138.0.7204.183 oder neuer.

Unter Apple macOS kann eine App möglicherweise beliebigen Code ausserhalb ihrer Sandbox oder mit bestimmten erhöhten Rechten ausführen. Das Problem wurde durch verbessertes State-Management behoben. Laut CVSS-Vektor genügen einem lokalen Angreifer geringe Rechte, eine Benutzerinteraktion ist nicht erforderlich; die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit sind hoch. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf macOS Sequoia 15.3, macOS Sonoma 14.7.7 bzw. macOS Ventura 13.7.7, in denen der Fehler behoben ist.

In macOS besteht ein Berechtigungsproblem, durch das eine App Root-Rechte erlangen kann. Das Problem wurde mit zusätzlichen Einschränkungen behoben. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: Update auf macOS Sequoia 15.6, macOS Sonoma 14.7.7 oder macOS Ventura 13.7.7 einspielen.

In Apple macOS besteht ein Speicherfehler, der beim Verarbeiten einer manipulierten Datei zu einer Heap-Korruption führen kann. Das Problem wurde durch verbesserte Validierung behoben. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: Update auf macOS Sequoia 15.6 einspielen.

Ein Berechtigungsproblem in macOS kann es einer bösartigen App ermöglichen, Root-Rechte zu erlangen. Apple hat das Problem durch zusätzliche Einschränkungen behoben. Die Ausnutzung erfordert laut CVSS-Vektor eine Benutzerinteraktion. CVSS-Basiswert: 7.8 (Hoch). Ein aktiver Missbrauch ist laut Quelldaten nicht bekannt. Empfohlene Massnahme: Update auf macOS Sequoia 15.6.

Ein Fehler in der Pfadbehandlung von macOS kann von einer App ausgenutzt werden, um Root-Rechte zu erlangen. Das Problem wurde durch eine verbesserte Validierung behoben und ist in macOS Sequoia 15.6, macOS Sonoma 14.7.7 sowie macOS Ventura 13.7.7 korrigiert. Ein lokaler Angreifer mit niedrigen Rechten kann Vertraulichkeit, Integrität und Verfügbarkeit in hohem Mass beeinträchtigen. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: die genannten macOS-Updates einspielen.

Eine Schwachstelle im State Management von macOS kann von einer App ausgenutzt werden, um Root-Rechte zu erlangen. Laut CVSS-Vektor erfolgt der Angriff lokal und erfordert Benutzerinteraktion, jedoch keine besonderen Rechte. Das Problem wurde laut Apple durch verbessertes State Management behoben. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: auf macOS Sequoia 15.6 bzw. macOS Sonoma 14.7.7 aktualisieren.

Die JavaScript-Engine V8 von Google Chrome weist einen Typenverwechslungsfehler (Type Confusion) auf. Ein entfernter Angreifer konnte über eine präparierte HTML-Seite eine Speicherbeschädigung (Heap Corruption) herbeiführen und dadurch potenziell Schadcode ausführen. Betroffen sind Chrome-Versionen vor 138.0.7204.168. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Update auf Google Chrome 138.0.7204.168 oder neuer.

In der JavaScript-Engine V8 von Google Chrome vor Version 138.0.7204.168 besteht eine Type-Confusion-Schwachstelle. Ein entfernter Angreifer kann darüber über eine speziell gestaltete HTML-Seite eine Heap-Beschädigung auslösen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf Chrome 138.0.7204.168 oder neuer aktualisieren.

Adobe InDesign Desktop in den Versionen 19.5.3 und älter ist von einer Schwachstelle durch Zugriff auf einen nicht initialisierten Zeiger betroffen, die zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Für die Ausnutzung ist eine Benutzerinteraktion erforderlich, da das Opfer eine bösartige Datei öffnen muss. CVSS-Basiswert: 7.8 (Hoch).

Adobe InCopy in den Versionen 20.3, 19.5.3 und älter ist von einer Heap-basierten Buffer-Overflow-Schwachstelle betroffen, die zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Für die Ausnutzung ist eine Benutzerinteraktion erforderlich, da das Opfer eine bösartige Datei öffnen muss. CVSS-Basiswert: 7.8 (Hoch).

Illustrator in den Versionen 28.7.6, 29.5.1 und aelter ist von einer Out-of-bounds-Write-Schwachstelle betroffen, die zu beliebiger Codeausfuehrung im Kontext des aktuellen Benutzers fuehren kann. Die Ausnutzung erfordert Benutzerinteraktion, da ein Opfer eine boesartige Datei oeffnen muss. CVSS-Basiswert: 7.8 (Hoch).

Adobe Illustrator in Version 28.7.6, 29.5.1 und früher ist für einen Stack-basierten Buffer Overflow anfällig, der zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Die Ausnutzung erfordert eine Benutzerinteraktion: Das Opfer muss eine bösartige Datei öffnen. CVSS-Basiswert: 7.8 (Hoch).

Illustrator in den Versionen 28.7.6, 29.5.1 und früher ist laut NVD von einem Stack-basierten Pufferüberlauf betroffen, der zur Ausführung beliebigen Codes im Kontext des aktuellen Nutzers führen kann. Zur Ausnutzung muss ein Opfer eine bösartige Datei öffnen. CVSS-Basiswert: 7.8 (Hoch).

Illustrator in den Versionen 28.7.6, 29.5.1 und früher ist von einem Integer-Überlauf (Wraparound) betroffen, der zu beliebiger Codeausführung im Kontext des aktuellen Benutzers führen kann. Für eine erfolgreiche Ausnutzung ist eine Benutzerinteraktion erforderlich, da das Opfer eine bösartige Datei öffnen muss. CVSS-Basiswert: 7.8 (Hoch).

Adobe Illustrator in den Versionen 28.7.6, 29.5.1 und älter ist von einer Integer-Underflow-Schwachstelle betroffen, die zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Für die Ausnutzung ist eine Benutzerinteraktion erforderlich, da das Opfer eine bösartige Datei öffnen muss. CVSS-Basiswert: 7.8 (Hoch).

Dimension in den Versionen 4.1.2 und früher ist von einer Out-of-Bounds-Write-Schwachstelle betroffen, die zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Für die Ausnutzung ist eine Nutzerinteraktion erforderlich: Das Opfer muss eine bösartige Datei öffnen. CVSS-Basiswert: 7.8 (Hoch).

InDesign Desktop in den Versionen 19.5.3 und älter ist von einem heap-basierten Pufferüberlauf betroffen, der zur Ausführung von beliebigem Code im Kontext des angemeldeten Benutzers führen kann. Die Ausnutzung erfordert eine Benutzerinteraktion: Das Opfer muss eine präparierte Datei öffnen. CVSS-Basiswert: 7.8 (Hoch). Ein aktiver Missbrauch ist laut Quelldaten nicht bekannt.

InDesign Desktop ist in den Versionen 19.5.3 und früher von einer Out-of-bounds-Write-Schwachstelle betroffen, die zur Ausführung beliebigen Codes im Kontext des angemeldeten Benutzers führen kann. Die Ausnutzung erfordert eine Benutzerinteraktion: Das Opfer muss eine bösartige Datei öffnen (Vektor CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H). CVSS-Basiswert: 7.8 (Hoch).

InCopy ist in den Versionen 20.3, 19.5.3 und früher von einer Schwachstelle vom Typ Access of Uninitialized Pointer betroffen, die zur Ausführung beliebigen Codes im Kontext des angemeldeten Benutzers führen kann. Die Ausnutzung erfordert eine Benutzerinteraktion: Das Opfer muss eine bösartige Datei öffnen (Vektor CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H). CVSS-Basiswert: 7.8 (Hoch).

InCopy in den Versionen 20.3, 19.5.3 und früher ist von einem Integer Underflow (Wrap or Wraparound) betroffen, der die Ausführung von beliebigem Code im Kontext des angemeldeten Benutzers ermöglichen kann. Die Ausnutzung erfordert eine Benutzerinteraktion: Das Opfer muss eine bösartig präparierte Datei öffnen. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: auf eine fehlerbereinigte InCopy-Version aktualisieren und Dateien aus nicht vertrauenswürdigen Quellen nicht öffnen.

InDesign Desktop in den Versionen 19.5.3 und früher ist von einem Heap-basierten Pufferüberlauf betroffen, der zur Ausführung beliebigen Codes im Kontext des angemeldeten Benutzers führen kann. Die Ausnutzung erfordert Benutzerinteraktion: Das Opfer muss eine präparierte Datei öffnen. Besondere Rechte sind für den Angriff nicht erforderlich. CVSS-Basiswert: 7.8 (Hoch).

InDesign Desktop in den Versionen 19.5.3 und früher ist von einem Heap-basierten Pufferüberlauf betroffen, der die Ausführung von beliebigem Code im Kontext des angemeldeten Benutzers ermöglichen kann. Die Ausnutzung erfordert eine Benutzerinteraktion: Das Opfer muss eine bösartig präparierte Datei öffnen. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: auf eine fehlerbereinigte InDesign-Version aktualisieren und Dateien aus nicht vertrauenswürdigen Quellen nicht öffnen.

InDesign Desktop ist in den Versionen 19.5.3 und früher von einer Integer-Underflow-Schwachstelle (Wrap or Wraparound) betroffen, die zur Ausführung beliebigen Codes im Kontext des angemeldeten Benutzers führen kann. Die Ausnutzung erfordert eine Benutzerinteraktion: Das Opfer muss eine bösartige Datei öffnen (Vektor CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H). CVSS-Basiswert: 7.8 (Hoch).

Illustrator in den Versionen 28.7.6, 29.5.1 und früher ist von einer Schwachstelle des Typs Access of Uninitialized Pointer betroffen. Sie kann zur Ausführung beliebigen Codes im Kontext des angemeldeten Benutzers führen. Zur Ausnutzung ist Benutzerinteraktion erforderlich: Das Opfer muss eine bösartige Datei öffnen. CVSS-Basiswert: 7.8 (Hoch).

Illustrator ist in den Versionen 28.7.6, 29.5.1 und früher von einer Out-of-Bounds-Write-Schwachstelle betroffen. Sie kann zur Ausführung beliebigen Codes im Kontext des angemeldeten Benutzers führen. Für eine erfolgreiche Ausnutzung ist eine Benutzerinteraktion nötig: Das Opfer muss eine bösartige Datei öffnen. CVSS-Basiswert: 7.8 (Hoch).

In der Anwendung Laundry 2.3.0 für Linux und macOS erlaubt eine Cross-Site-Request-Forgery-Schwachstelle die Übernahme eines Kontos. CVSS-Basiswert: 8.8 (Hoch).

IBM webMethods Integration Server (10.5, 10.7, 10.11 und 10.15) ist bei der Verarbeitung von XML-Daten anfällig für eine XML-External-Entity-Injection (XXE). Ein entfernter, authentifizierter Angreifer kann die Schwachstelle ausnutzen, um beliebige Befehle auszuführen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Die vom Hersteller bereitgestellten Sicherheitsupdates einspielen.

Acrobat Reader in den Versionen 24.001.30235, 20.005.30763, 25.001.20521 und aelter ist von einer Use-after-free-Schwachstelle betroffen, die zu beliebiger Codeausfuehrung im Kontext des aktuellen Benutzers fuehren kann. Die Ausnutzung erfordert Benutzerinteraktion, da ein Opfer eine boesartige Datei oeffnen muss. CVSS-Basiswert: 7.8 (Hoch).

Adobe Acrobat Reader in den Versionen 24.001.30235, 20.005.30763, 25.001.20521 und früher ist für eine Use-after-free-Schwachstelle anfällig, die zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Die Ausnutzung erfordert eine Benutzerinteraktion: Das Opfer muss eine bösartige Datei öffnen. CVSS-Basiswert: 7.8 (Hoch).

InDesign Desktop in den Versionen ID20.2, ID19.5.3 und früher ist von einer Use-After-Free-Schwachstelle betroffen, die zur Ausführung von beliebigem Code im Kontext des aktuellen Benutzers führen kann. Zur Ausnutzung ist eine Benutzerinteraktion nötig: Das Opfer muss eine manipulierte Datei öffnen. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf eine fehlerbereinigte Version.

InDesign Desktop in den Versionen ID20.2, ID19.5.3 und früher ist von einem Heap-basierten Pufferüberlauf betroffen, der zur Ausführung beliebigen Codes im Kontext des angemeldeten Benutzers führen kann. Die Ausnutzung erfordert eine Nutzerinteraktion: Das Opfer muss eine präparierte Datei öffnen. CVSS-Basiswert: 7.8 (Hoch).

InCopy in den Versionen 20.2, 19.5.3 und früher ist von einem Integer Overflow bzw. Wraparound betroffen, der zur Ausführung beliebigen Codes im Kontext des angemeldeten Benutzers führen kann. Die Ausnutzung erfordert eine Nutzerinteraktion: Das Opfer muss eine präparierte Datei öffnen. CVSS-Basiswert: 7.8 (Hoch).

Acrobat Reader ist in den Versionen 24.001.30235, 20.005.30763, 25.001.20521 und früher von einer Use-after-free-Schwachstelle betroffen, die zur Ausführung beliebigen Codes im Kontext des angemeldeten Benutzers führen kann. Die Ausnutzung erfordert eine Benutzerinteraktion: Das Opfer muss eine bösartige Datei öffnen (Vektor CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H). CVSS-Basiswert: 7.8 (Hoch).

InDesign Desktop in den Versionen ID20.2, ID19.5.3 und älter ist von einer Out-of-Bounds-Write-Schwachstelle betroffen, die zur Ausführung von beliebigem Code im Kontext des angemeldeten Benutzers führen kann. Die Ausnutzung erfordert eine Benutzerinteraktion: Das Opfer muss eine präparierte Datei öffnen. CVSS-Basiswert: 7.8 (Hoch). Ein aktiver Missbrauch ist laut Quelldaten nicht bekannt.

Acrobat Reader in den Versionen 24.001.30235, 20.005.30763, 25.001.20521 und älter ist von einer Use-after-Free-Schwachstelle betroffen, die zur Ausführung von beliebigem Code im Kontext des angemeldeten Benutzers führen kann. Die Ausnutzung erfordert eine Benutzerinteraktion: Das Opfer muss eine präparierte Datei öffnen. CVSS-Basiswert: 7.8 (Hoch). Ein aktiver Missbrauch ist laut Quelldaten nicht bekannt.

Acrobat Reader in den Versionen 24.001.30235, 20.005.30763, 25.001.20521 und früher ist von einer Use-After-Free-Schwachstelle betroffen, die die Ausführung von beliebigem Code im Kontext des angemeldeten Benutzers ermöglichen kann. Die Ausnutzung erfordert eine Benutzerinteraktion: Das Opfer muss eine bösartig präparierte Datei öffnen. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: Acrobat Reader auf eine fehlerbereinigte Version aktualisieren und PDF-Dateien aus nicht vertrauenswürdigen Quellen nicht öffnen.

Acrobat Reader ist in den Versionen 24.001.30235, 20.005.30763, 25.001.20521 und früher von einer Out-of-bounds-Write-Schwachstelle betroffen, die zur Ausführung beliebigen Codes im Kontext des angemeldeten Benutzers führen kann. Die Ausnutzung erfordert eine Benutzerinteraktion: Das Opfer muss eine bösartige Datei öffnen (Vektor CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H). CVSS-Basiswert: 7.8 (Hoch).

InDesign Desktop in den Versionen ID20.2, ID19.5.3 und früher ist von einer Out-of-Bounds-Write-Schwachstelle betroffen, die zur Ausführung beliebigen Codes im Kontext des angemeldeten Benutzers führen kann. Die Ausnutzung erfordert Benutzerinteraktion: Das Opfer muss eine präparierte Datei öffnen. Besondere Rechte sind für den Angriff nicht erforderlich. CVSS-Basiswert: 7.8 (Hoch).

InDesign Desktop in den Versionen ID20.2, ID19.5.3 und früher ist von einer Out-of-Bounds-Write-Schwachstelle betroffen, die die Ausführung von beliebigem Code im Kontext des angemeldeten Benutzers ermöglichen kann. Die Ausnutzung erfordert eine Benutzerinteraktion: Das Opfer muss eine bösartig präparierte Datei öffnen. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: auf eine fehlerbereinigte InDesign-Version aktualisieren und Dateien aus nicht vertrauenswürdigen Quellen nicht öffnen.

InCopy in den Versionen 20.2, 19.5.3 und älter ist von einem heap-basierten Pufferüberlauf betroffen, der zur Ausführung von beliebigem Code im Kontext des angemeldeten Benutzers führen kann. Die Ausnutzung erfordert eine Benutzerinteraktion: Das Opfer muss eine präparierte Datei öffnen. CVSS-Basiswert: 7.8 (Hoch). Ein aktiver Missbrauch ist laut Quelldaten nicht bekannt.

In macOS wurde eine Umgehung der Datei-Quarantäne (File Quarantine) durch zusätzliche Prüfungen behoben. Über die Schwachstelle konnte eine App aus ihrer Sandbox ausbrechen. Behoben ist das Problem in macOS Sequoia 15.4, macOS Sonoma 14.7.5 und macOS Ventura 13.7.5. CVSS-Basiswert: 8.2 (Hoch). Empfohlene Massnahme: Aktualisierung auf die vom Hersteller bereitgestellte fehlerbereinigte Version.

Laut NVD kann die Verarbeitung von bösartig gestalteten Webinhalten zu einer Speicherbeschädigung führen; das Problem wurde durch verbesserte Prüfungen behoben. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf Safari 18.3, iOS/iPadOS 18.3, macOS Sequoia 15.3, tvOS 18.3, visionOS 2.3 oder watchOS 11.3 aktualisieren.

Bridge in den Versionen 15.0.3, 14.1.6 und früher ist von einer Schwachstelle durch den Zugriff auf einen uninitialisierten Zeiger betroffen, die zur Ausführung von beliebigem Code im Kontext des aktuellen Benutzers führen kann. Zur Ausnutzung ist eine Benutzerinteraktion nötig: Das Opfer muss eine manipulierte Datei öffnen. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf eine fehlerbereinigte Version.

Adobe Bridge in den Versionen 15.0.3, 14.1.6 und älter ist von einer Integer-Underflow-Schwachstelle betroffen, die zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Für die Ausnutzung ist eine Benutzerinteraktion erforderlich, da das Opfer eine bösartige Datei öffnen muss. CVSS-Basiswert: 7.8 (Hoch).

Animate in den Versionen 24.0.8, 23.0.11 und aelter ist von einem Integer-Ueberlauf (Integer Overflow or Wraparound) betroffen, der zu beliebiger Codeausfuehrung im Kontext des aktuellen Benutzers fuehren kann. Die Ausnutzung erfordert Benutzerinteraktion, da ein Opfer eine boesartige Datei oeffnen muss. CVSS-Basiswert: 7.8 (Hoch).

Adobe Animate in Version 24.0.8, 23.0.11 und früher ist für eine Schwachstelle durch Zugriff auf einen nicht initialisierten Zeiger anfällig, die zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Die Ausnutzung erfordert eine Benutzerinteraktion: Das Opfer muss eine bösartige Datei öffnen. CVSS-Basiswert: 7.8 (Hoch).