Apple (macOS/iOS) Seite 35

Die Komponenten svpn und policyserver des F5 BIG-IP APM Clients vor Version 7.1.7.1 für Linux und macOS laufen als privilegierter Prozess und erlauben es einem unprivilegierten Benutzer, die Eigentümerschaft an Dateien des Benutzers root zu erlangen. Ein böswilliger lokaler Benutzer kann so an vertrauliche Informationen gelangen, bestimmte Daten manipulieren oder Superuser-Rechte auf dem lokalen Client-Host erlangen. CVSS-Basiswert: 7.8 (Hoch).

zlib ist eine weit verbreitete Kompressionsbibliothek. In Version 1.2.8 kann die Datei inftrees.c kontextabhängigen Angreifern durch fehlerhafte (unzulässige) Zeigerarithmetik nicht näher spezifizierte Auswirkungen ermöglichen. Da zlib in zahlreiche Betriebssysteme und Anwendungen eingebettet ist, geben entsprechend viele Distributionen und Hersteller eigene Sicherheitshinweise heraus. CVSS-Basiswert: 8.8 (Hoch), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H. Empfohlene Massnahme: Aktualisierungen der jeweiligen Distribution bzw. des Herstellers einspielen.

Die Funktion inflateMark in inflate.c der Kompressionsbibliothek zlib 1.2.8 kann von kontextabhängigen Angreifern über Vektoren ausgenutzt werden, die Linksverschiebungen negativer Ganzzahlen beinhalten, und dabei nicht näher spezifizierte Auswirkungen haben. Da zlib in viele Betriebssysteme und Anwendungen eingebettet ist, sind zahlreiche Hersteller betroffen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: die von den jeweiligen Herstellern bereitgestellten Aktualisierungen für die betroffenen Produkte einspielen.

In ABB Arctic ARG600/ARC600/ARR600/ARP600 Wireless Gateway und OpenSSH wurde eine Sicherheitslücke (CVE-2024-6387, regreSSHion) gemeldet. Laut ABB PSIRT sind 4 Produkt(e) betroffen, 0 mit Fix. Ausnutzungswahrscheinlichkeit (EPSS): 99.5 %.

Für Axis-Produkte wurde eine Sicherheitslücke (CVE-2021-44790) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 96.8 %.

Für Asustor-Produkte wurde eine Sicherheitslücke (CVE-2020-36221) gemeldet; auch Debian und Apple führen entsprechende Hinweise. Ausnutzungswahrscheinlichkeit (EPSS): 85.0 %.

Für Produkte von Axis wurde eine Sicherheitslücke (CVE-2021-44224) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 82.3 %.

Für Produkte von Asustor und Axis wurde eine Sicherheitslücke behoben; betroffen sind zudem mehrere weitere Hersteller und Distributionen. Ausnutzungswahrscheinlichkeit (EPSS): 69.1 %.

Für Asustor- und Axis-Produkte wurde eine Sicherheitslücke (CVE-2022-22721) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 41.7 %.

Für Produkte von Axis, curl, Apple (macOS/iOS), Fedora und NetApp wurde eine Sicherheitslücke gemeldet (CVE-2024-2398). Ausnutzungswahrscheinlichkeit (EPSS): 36.1 %.

Für Produkte von Axis Communications wurde eine Sicherheitslücke (CVE-1999-1412) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 35.9 %.

In mehreren Apple-Betriebssystemen und in Safari besteht eine Type-Confusion-Schwachstelle, die durch verbesserte Zustandsverwaltung behoben wurde. Behoben in Safari 26.2, iOS 18.7.3 und iPadOS 18.7.3, iOS 26.2 und iPadOS 26.2, macOS Tahoe 26.2 sowie visionOS 26.2. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 34.1 %. Empfohlene Massnahme: Update auf die genannten Versionen einspielen.

ICMP-Informationen wie Netzmaske und Zeitstempel können von beliebigen Hosts abgefragt werden, was zur Informationssammlung genutzt werden kann. Die ABB Arctic communication solution ARM600 ist unter anderem betroffen. CVSS-Basiswert: 4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 32.2 %. 2 Produkt(e) betroffen, 0 mit Fix.

Für mehrere überwachte Produkte wurde eine Sicherheitslücke (CVE-2022-22720) gemeldet; laut den Quellen sind unter anderem Asustor und Axis betroffen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 28.2 %.

Für curl sowie Axis-Produkte wurde eine Sicherheitslücke (CVE-2022-32205) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 27.9 %.

Für Atlassian-Produkte wurde eine Sicherheitslücke (CVE-2023-22524) gemeldet; Atlassian führt sie in seinen Sicherheitshinweisen. Ausnutzungswahrscheinlichkeit (EPSS): 24.5 %.

Für Rockwell-Automation-Produkte wurde eine Sicherheitslücke (CVE-2018-0472) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 16.2 %.

Für CVE-2020-8285 liegt ein Sicherheitshinweis von curl / Daniel Stenberg vor. Laut Zuordnung sind unter anderem curl, Debian, Fedora, NetApp, HPE Storage, IBM Storage, Pure Storage, Apple (macOS/iOS), Axis, Oracle (CPU/EBS/PeopleSoft/WebLogic), Siemens Healthineers, Siemens ProductCERT und Splunk (Cisco) betroffen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 9.8 %.

Axis führt CVE-2022-32207 in den Sicherheitshinweisen für Axis Communications. Betroffen ist laut Quelldaten auch curl, Fedora, Debian (DSA), NetApp, Element (Matrix.org), Apple (macOS/iOS) und Splunk (Cisco). Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 7.7 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Für curl und weitere betroffene Produkte (Axis, Fedora, Debian (DSA), NetApp, Element (Matrix.org), Apple (macOS/iOS), Splunk (Cisco)) wurde eine Sicherheitslücke (CVE-2022-32208) gemeldet. Nähere technische Details liegen in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 7.5 %.

Diese OpenSSL-Schwachstelle ist laut dem Axis-Security-Advisory-Portal in Axis-Produkten dokumentiert und wird zusätzlich von zahlreichen weiteren Herstellern geführt, darunter Debian (DSA), Qualys/Rapid7/Tenable, Paessler AG, Apple (macOS/iOS), NetApp, Rockwell Automation, HPE Storage, IBM Storage, Pure Storage, MySQL/MariaDB, Oracle (CPU/EBS/PeopleSoft/WebLogic), Siemens Healthineers und Siemens ProductCERT. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor, daher wird die Schwere als Mittel eingestuft. Ausnutzungswahrscheinlichkeit (EPSS): 7.4 %. Details zu betroffenen Versionen und Massnahmen sind den jeweiligen Hersteller-Advisories zu entnehmen.

Diese Schwachstelle in curl ist laut curl / Daniel Stenberg dokumentiert (curl.se Security-Advisories) und wird auch vom Axis-Security-Advisory-Portal sowie von Fedora, NetApp, NAKIVO, MySQL/MariaDB, Apple (macOS/iOS), Siemens Healthineers, Siemens ProductCERT und Debian (DSA) geführt. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor, daher wird die Schwere als Mittel eingestuft. Ausnutzungswahrscheinlichkeit (EPSS): 6.7 %. Details zu betroffenen Versionen und Massnahmen sind den jeweiligen Hersteller-Advisories zu entnehmen.

Für Securepoint UTM sowie die nachgelagerten Produkte von NetApp und Apple (macOS/iOS) wurde eine Sicherheitslücke (CVE-2022-40304) gemeldet, dokumentiert im Securepoint-UTM-Changelog. Ausnutzungswahrscheinlichkeit (EPSS): 5.8 %.

Für die Software curl wird in der Sicherheitsübersicht des Projekts (Daniel Stenberg) ein Eintrag zu dieser CVE-ID geführt. Weitere Hersteller und Distributionen (u. a. Fedora, NetApp, NAKIVO, Apple (macOS/iOS), MySQL/MariaDB, Oracle (CPU/EBS/PeopleSoft/WebLogic), Siemens Healthineers/ProductCERT, SimpleHelp Ltd sowie Splunk (Cisco)) referenzieren die Lücke ebenfalls in ihren Sicherheitshinweisen. Technische Details zu Ursache, betroffenen Versionen oder Massnahmen enthalten die ausgewerteten Quelldaten nicht. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 4.9 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Die Schwachstelle ist der curl-Bibliothek zugeordnet; laut den Quelldaten liegt keine detaillierte technische Beschreibung vor. Betroffen sind laut Zuordnung zahlreiche nachgelagerte Distributionen und Produkte, die curl integrieren. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 4.6 %.

Für curl sowie die nachgelagerten Produkte von Axis, Fedora, Debian (DSA), NetApp, NAKIVO, Rockwell Automation, SimpleHelp, Sonatype, MySQL/MariaDB, Oracle (CPU/EBS/PeopleSoft/WebLogic), Apple (macOS/iOS), Siemens Healthineers, Siemens ProductCERT, Magento/Adobe Commerce und Splunk (Cisco) wurde eine Schwachstelle gemeldet, dokumentiert in den curl-Sicherheitshinweisen sowie bei Axis Communications. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor, daher wird die Schwere als Mittel eingestuft. Ausnutzungswahrscheinlichkeit (EPSS): 4.5 %.

Für curl wird in der offiziellen Schwachstellenübersicht ein Eintrag zu dieser CVE-ID geführt. Weitere Hersteller und Distributionen (u. a. Axis, NetApp, Debian, Apple macOS/iOS sowie Splunk) referenzieren die Lücke ebenfalls in ihren Sicherheitshinweisen. Technische Details zu Ursache, betroffenen Versionen oder Massnahmen enthalten die ausgewerteten Quelldaten nicht. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 4.4 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Für Produkte von LANCOM Systems wurde eine Sicherheitslücke (CVE-2024-3661) gemeldet. Weitere Hersteller (u. a. Fortinet, Cisco Webex, Cisco, Splunk, Citrix/NetScaler, Apple, F5, WatchGuard und Zscaler) führen die Lücke ebenfalls in ihren Sicherheitshinweisen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 4.1 %.

Für CVE-2020-8284 liegt laut curl-Sicherheitsadvisory (Daniel Stenberg) ein Eintrag zu curl vor; eine detaillierte Beschreibung der Schwachstelle ist in den übergebenen Quelldaten nicht enthalten. Als betroffen zugeordnet sind laut Quellenlage unter anderem Fedora, Debian, NetApp, HPE Storage, IBM Storage, Pure Storage, Apple (macOS/iOS), Axis, Oracle, Siemens Healthineers, Siemens ProductCERT und Splunk (Cisco), die curl als Bestandteil einsetzen. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 3.9 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Für Produkte von Axis, curl, Fedora, NetApp, Apple (macOS/iOS) und Splunk (Cisco) wurde eine Sicherheitslücke (CVE-2022-42915) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 3.1 %.

curl (Daniel Stenberg) führt CVE-2021-22947 in den Sicherheitsmeldungen auf; betroffen sind laut Datenlage zudem zahlreiche Produkte, die die Bibliothek einsetzen, u. a. von Axis, Fedora, Debian, NetApp, NAKIVO, Siemens und Apple. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 3.0 %.

Axis führt CVE-2023-28320 in den Security Advisories. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Betroffen sind laut Quelldaten auch curl, Apple (macOS/iOS) und NetApp. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 2.7 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Für die Produkte Axis, curl, Apple (macOS/iOS) und Splunk (Cisco) wurde eine Sicherheitslücke (CVE-2022-43552) gemeldet. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 2.5 %.

Für curl wurde die Schwachstelle CVE-2023-28319 gemeldet und im Sicherheitsadvisory des curl-Projekts dokumentiert. Ein CVSS-Basiswert liegt nicht in den Quelldaten vor. Im Feed sind zusätzlich Axis, Apple (macOS/iOS) und NetApp als betroffene Hersteller zugeordnet. Ausnutzungswahrscheinlichkeit (EPSS): 2.5 %.

Für curl sowie die nachgelagerten Produkte von Axis, NetApp, Element (Matrix.org), Apple (macOS/iOS), Debian (DSA) und Splunk (Cisco) wurde eine Sicherheitslücke (CVE-2022-35252) gemeldet, dokumentiert in den curl-Sicherheitshinweisen sowie bei Axis Communications. Ausnutzungswahrscheinlichkeit (EPSS): 2.4 %.

Für Axis Communications liegt laut den Security Advisories des Herstellers ein Eintrag zu dieser CVE-ID vor. Auch das curl-Projekt (Daniel Stenberg) führt diese CVE-ID in seinen Security-Übersichten (vuln.json, security.html); laut Zuordnung sind zudem Fedora, Apple (macOS/iOS) und NetApp mit dieser CVE-ID verknüpft. Technische Details zu Ursache, betroffenen Versionen oder Massnahmen enthalten die ausgewerteten Quelldaten nicht. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 2.2 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Axis führt CVE-2022-35260 in den Sicherheitshinweisen für Axis Communications. Betroffen ist laut Quelldaten auch curl, NetApp, Apple (macOS/iOS) und Splunk (Cisco). Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 1.8 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Auf den Sicherheitshinweis-Seiten von Axis und curl ist unter dieser CVE-ID jeweils ein Eintrag verzeichnet; laut Zuordnung sind zudem Fedora, Apple (macOS/iOS) und Splunk (Cisco) betroffen. Konkrete technische Details zur Schwachstelle, etwa CVSS-Basiswert oder betroffene Versionen, liegen in den vorliegenden Quelldaten nicht vor. Eine aktive Ausnutzung über CISA KEV oder ein Einsatz in Ransomware-Kampagnen ist nicht belegt. Ausnutzungswahrscheinlichkeit (EPSS): 1.8 %. Für Details wird auf die Advisories der jeweiligen Hersteller verwiesen.

Für curl ist unter dieser CVE-ID eine Sicherheitslücke dokumentiert, die sich laut den vorliegenden Quellen auch auf nachgelagerte Produkte von Axis, Debian (DSA), Fedora, NetApp und Apple (macOS/iOS) auswirkt. Eine detaillierte technische Beschreibung sowie ein CVSS-Basiswert liegen in den vorliegenden Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 1.8 %.

Für curl wurde eine Sicherheitslücke (CVE-2024-2379) gemeldet. Laut den Herstelleradvisories sind auch Axis- sowie curl-integrierende Apple- (macOS/iOS) und NetApp-Produkte betroffen. Ausnutzungswahrscheinlichkeit (EPSS): 1.7 %.

Für Produkte von Axis, curl / Daniel Stenberg, Fedora, Apple (macOS/iOS) und NetApp wurde eine Sicherheitslücke (CVE-2024-2004) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 1.7 %.

Die Schwachstelle ist laut Axis-Sicherheitsadvisory Axis-Produkten zugeordnet; eine detaillierte technische Beschreibung liegt in den Quelldaten nicht vor. Betroffen sind laut Zuordnung ausserdem Cisco Webex, Cisco, Splunk, Apple macOS/iOS, Sonatype Nexus und Univention. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 1.6 %.

Für Produkte von Axis, curl / Daniel Stenberg, Apple (macOS/iOS) und NetApp wurde eine Sicherheitslücke (CVE-2024-2466) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 1.3 %.

Für CVE-2019-9847 liegt bei LibreOffice laut The Document Foundation ein Sicherheitshinweis vor. Nähere technische Details sind in den Quelldaten nicht enthalten. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 1.0 %.

In Apple-Produkten wurde ein Problem durch verbesserte Speicherbehandlung behoben. Die Verarbeitung bösartig gestalteter Web-Inhalte kann zu einem unerwarteten Verhalten führen. Behoben in Safari 18.6, iOS 18.6 und iPadOS 18.6, macOS Sequoia 15.6, tvOS 18.6, visionOS 2.6 sowie watchOS 11.6. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 1.0 %. Empfohlene Massnahme: Auf die genannten korrigierten Versionen aktualisieren.

In aandrew-me tgpt bis Version 2.11.1 unter Linux und macOS besteht in der Funktion helper.Update der Datei helper.go (Komponente Update Handler) eine Schwachstelle. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.9 %. Empfohlene Massnahme: auf eine fehlerbereinigte Version aktualisieren.

Das Problem wurde durch verbesserte Speicherbehandlung adressiert. Betroffen ist die Verarbeitung schädlich präparierter Inhalte; die Korrektur erfolgte in Safari 18.6, iOS 18.6 und iPadOS 18.6, macOS Sequoia 15.6, tvOS 18.6, visionOS 2.6 sowie watchOS 11.6. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Empfohlene Massnahme: auf eine der genannten korrigierten Versionen aktualisieren.

Ein Problem in der Speicherbehandlung wurde durch verbesserte Speicherverwaltung behoben. Die Verarbeitung bösartig gestalteter Web-Inhalte kann sich auswirken. Die Korrektur ist in Safari 26.4, iOS 26.4 und iPadOS 26.4, macOS Tahoe 26.4 sowie visionOS 26.4 enthalten. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Empfohlene Massnahme: die bereitgestellten Aktualisierungen einspielen.

In Apple Safari sowie in iOS/iPadOS und macOS kann die Verarbeitung von speziell präpariertem Webinhalt einen Out-of-Bounds-Schreibzugriff auslösen. Das Problem wurde durch verbesserte Eingabevalidierung behoben. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Empfohlene Massnahme: Update auf Safari 26.5.2, iOS/iPadOS 26.5.2 bzw. macOS Tahoe 26.5.2.

Das Problem wurde durch verbesserte Speicherbehandlung adressiert. Eine schädliche Website könnte das Verhalten beeinflussen; die Korrektur erfolgte in Safari 26.4, iOS 26.4 und iPadOS 26.4, macOS Tahoe 26.4, tvOS 26.4, visionOS 26.4 sowie watchOS 26.4. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Empfohlene Massnahme: auf eine der genannten korrigierten Versionen aktualisieren.