Apple (macOS/iOS) Seite 39

Eine unsachgemässe Implementierung in Chrome for iOS erlaubt es einem entfernten Angreifer, mittels einer präparierten HTML-Seite Navigationsbeschränkungen zu umgehen. Betroffen sind Chrome-für-iOS-Versionen vor 151.0.7922.72. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Eine unsachgemässe Implementierung in Chrome for iOS erlaubt es einem entfernten Angreifer, mittels einer präparierten HTML-Seite Navigationsbeschränkungen zu umgehen. Betroffen sind Chrome-für-iOS-Versionen vor 151.0.7922.72. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Eine unverschlüsselte Netzwerkübertragung wurde behoben, indem betroffene Verbindungen künftig HTTPS verwenden. Betroffen sind iOS und iPadOS vor 26.6 sowie tvOS, visionOS und watchOS vor 26.6. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf die genannten aktualisierten Versionen patchen.

In Apples WebKit/Safari besteht ein Use-after-free-Fehler, der bei der Verarbeitung speziell präparierter Web-Inhalte auftreten kann. Der Fehler wurde durch eine verbesserte Speicherverwaltung behoben und ist in Safari 26.5.2, iOS 26.5.2, iPadOS 26.5.2 sowie macOS Tahoe 26.5.2 korrigiert. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Auf die genannten Safari-/Betriebssystemversionen aktualisieren.

Ein Integer-Overflow in Apple macOS wurde durch verbesserte Eingabevalidierung behoben. Eine App kann einen unerwarteten Systemabbruch auslösen. Der Fehler ist in macOS Sequoia 15.6, macOS Sonoma 14.7.7 und macOS Ventura 13.7.7 behoben. CVSS-Basiswert: 6.2 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf die genannten macOS-Versionen oder neuer aktualisieren.

Das Canon EOS Network Setting Tool in Version 1.5.0 und früher validiert Server-Zertifikate nicht ordnungsgemäss. Dies kann Angreifern in einer Man-in-the-Middle-Position ermöglichen, die Verbindung zu kompromittieren. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf eine korrigierte Version des EOS Network Setting Tools aktualisieren.

Adobe InDesign Desktop (Versionen 21.3, 20.5.3 und früher) ist von einer Out-of-Bounds-Read-Schwachstelle betroffen, die zur Offenlegung sensibler Speicherinhalte führen kann. Zur Ausnutzung muss ein Benutzer eine präparierte Datei öffnen. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In Google Chrome vor Version 149.0.7827.155 erlaubt eine unangemessene Implementierung in der Passwords-Komponente einem entfernten Angreifer, Cross-Origin-Daten über eine präparierte HTML-Seite abzugreifen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf Google Chrome 149.0.7827.155 oder neuer aktualisieren.

In der iOS-Version von Google Chrome (vor Version 151.0.7922.72) führt eine unangemessene Implementierung dazu, dass ein entfernter Angreifer über eine präparierte HTML-Seite UI-Spoofing durchführen kann. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Aktualisierung auf Google Chrome 151.0.7922.72 oder neuer.

Eine unsachgemässe Implementierung in Google Chrome für iOS vor Version 151.0.7922.72 erlaubt es einem entfernten Angreifer, über eine präparierte HTML-Seite UI-Spoofing durchzuführen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: Update auf Google Chrome 151.0.7922.72 oder neuer.

Eine unsachgemässe Implementierung in Google Chrome für iOS vor Version 151.0.7922.72 erlaubt es einem entfernten Angreifer, über eine präparierte HTML-Seite UI-Spoofing durchzuführen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Update auf Google Chrome 151.0.7922.72 oder neuer.

In Google Chrome für iOS vor Version 151.0.7922.72 besteht eine fehlerhafte Sicherheits-UI. Ein entfernter Angreifer kann über eine präparierte HTML-Seite ein Domain-Spoofing durchführen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

Eine unzureichende Durchsetzung von Richtlinien in Subresource Integrity von Google Chrome vor Version 149.0.7827.53 erlaubte einem entfernten Angreifer, die Content Security Policy über manipulierten Netzwerkverkehr zu umgehen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Auf Google Chrome 149.0.7827.53 oder neuer aktualisieren.

Der HTTP/2-zu-HTTP/1.1-Codec von swift-nio-http2 validierte Pseudo-Header-Werte nicht auf Steuerzeichen, bevor sie in die übersetzte HTTP/1.1-Nachricht übernommen wurden. Mit Version 1.44.1 wurde eine entsprechende Validierung ergänzt. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Eine fehlerhafte Sicherheits-UI in der Blink-Engine von Google Chrome vor Version 147.0.7727.55 erlaubt einem entfernten Angreifer über eine präparierte HTML-Seite ein UI-Spoofing. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf Chrome 147.0.7727.55 oder neuer aktualisieren.

In Google Chrome vor Version 147.0.7727.55 erlaubt eine fehlerhafte Sicherheits-UI im Vollbildmodus (Fullscreen) einem entfernten Angreifer, über eine praeparierte HTML-Seite eine UI-Taeuschung durchzuführen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf eine fehlerbereinigte Version aktualisieren.

Eine unzureichende Richtliniendurchsetzung in der Browser-Oberfläche von Google Chrome vor Version 147.0.7727.55 erlaubte es laut Quelle einem Angreifer aus der Ferne, der den Renderer-Prozess bereits kompromittiert hatte, den Inhalt der Omnibox (Adressleiste) zu fälschen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Aktualisierung auf Version 147.0.7727.55 oder neuer.

Eine unzureichende Prüfung nicht vertrauenswürdiger Eingaben in WebSockets in Google Chrome vor Version 147.0.7727.55 erlaubte einem entfernten Angreifer, der den Renderer-Prozess kompromittiert hatte, über eine präparierte HTML-Seite die Same-Origin-Policy zu umgehen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Google Chrome auf Version 147.0.7727.55 oder neuer aktualisieren.

Ein Out-of-Bounds-Read in der VideoCapture-Komponente von Google Chrome vor Version 149.0.7827.115 erlaubte einem entfernten Angreifer, der bereits den GPU-Prozess kompromittiert hatte, potenziell sensible Informationen aus dem Prozessspeicher auszulesen. Als betroffen ausgewiesen sind Google ChromeOS/Chrome, Apple (macOS/iOS), Amazon Linux (ALAS), Oracle Linux (ELSA), Rocky Linux und Microsoft Windows. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf eine korrigierte Chrome-Version aktualisieren.

Eine ungeeignete Implementierung in WebRTC von Google Chrome vor Version 149.0.7827.53 erlaubte einem Angreifer in einer privilegierten Netzwerkposition, über bösartigen Netzwerkverkehr Cross-Origin-Daten offenzulegen. CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 149.0.7827.53 oder neuer aktualisieren.

In Google Chrome vor Version 147.0.7727.55 erlaubt eine Richtlinienumgehung in Blink einem entfernten Angreifer über eine präparierte HTML-Seite ein UI-Spoofing. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf Chrome 147.0.7727.55 oder neuer aktualisieren.

In Google Chrome auf Windows vor Version 147.0.7727.55 erlaubt eine unzureichende Validierung nicht vertrauenswürdiger Eingaben in der Download-Funktion einem entfernten Angreifer über eine präparierte HTML-Seite die Umgehung von Download-Beschränkungen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf Chrome 147.0.7727.55 oder neuer aktualisieren.

Eine unzureichende Validierung nicht vertrauenswürdiger Eingaben in Chrome für iOS in Google Chrome auf iOS vor Version 150.0.7871.47 ermöglicht einem entfernten Angreifer, der einen Benutzer zu bestimmten UI-Gesten überredet hat, einen Angriff durchzuführen. CVSS-Basiswert: 4.2 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Auf Google Chrome für iOS 150.0.7871.47 oder neuer aktualisieren.

In Google Chrome für iOS vor Version 151.0.7922.72 besteht eine fehlerhafte Implementierung. Ein entfernter Angreifer kann über eine präparierte HTML-Seite ein UI-Spoofing durchführen. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

Eine unangemessene Implementierung in der UI von Google Chrome vor Version 150.0.7871.47 erlaubt einem entfernten Angreifer, der einen Nutzer zu bestimmten UI-Interaktionen verleitet, UI-Spoofing über eine präparierte HTML-Seite durchzuführen. CVSS-Basiswert: 4.2 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 150.0.7871.47 oder neuer aktualisieren.

Eine unangemessene Implementierung in der Benutzeroberfläche (UI) von Google Chrome auf Mac erlaubt einem entfernten Angreifer, der einen Nutzer zu bestimmten UI-Interaktionen verleitet, über eine präparierte HTML-Seite UI-Spoofing durchzuführen. Betroffen sind Versionen vor 150.0.7871.47. CVSS-Basiswert: 4.2 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Auf Google Chrome 150.0.7871.47 oder neuer aktualisieren.

In Google Chrome vor 149.0.7827.197 kann ein entfernter Angreifer, der bereits den Renderer-Prozess kompromittiert hat, über eine uninitialisierte Speichernutzung in der GPU-Komponente potenziell sensible Informationen aus dem Prozessspeicher auslesen. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf die fehlerbereinigte Version aktualisieren.

In Google Chrome vor 149.0.7827.53 kann ein entfernter Angreifer, der den Renderer-Prozess kompromittiert hat, über eine Use-after-free in der Netzwerk-Komponente potenziell sensible Informationen aus dem Prozessspeicher auslesen. CVSS-Basiswert: 4.7 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf die fehlerbereinigte Version aktualisieren.

Adobe Acrobat Reader in den Versionen 2020.009.20074, 2020.001.30002, 2017.011.30171, 2015.006.30523 und früher ist von einer Out-of-bounds-Read-Schwachstelle betroffen, die zur Offenlegung sensibler Speicherinhalte führen kann. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Update auf eine korrigierte Adobe-Version einspielen.

Adobe Acrobat und Reader in den Versionen 2020.009.20074 und früher, 2020.001.30002, 2017.011.30171 und früher sowie 2015.006.30523 und früher sind von einer Out-of-bounds-Read-Schwachstelle betroffen, die zur Offenlegung von Informationen führen kann. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf eine korrigierte Acrobat-/Reader-Version aktualisieren.

Adobe Acrobat Reader (Versionen 24.001.30365, 26.001.21651 und früher) ist von einer Out-of-Bounds-Read-Schwachstelle betroffen, die zur Offenlegung sensibler Speicherinhalte führen kann. Zur Ausnutzung muss ein Benutzer eine präparierte Datei öffnen. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Eine unangemessene Implementierung (Inappropriate implementation) in der Safe-Browsing-Komponente von Google Chrome vor Version 149.0.7827.53 erlaubt einem entfernten Angreifer über eine präparierte RAR-Datei, die benutzerbestimmte Zugriffskontrolle (discretionary access control) zu umgehen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Update auf Google Chrome 149.0.7827.53 oder neuer.

Eine unzureichende Validierung nicht vertrauenswürdiger Eingaben in Chrome für iOS in Google Chrome auf iOS (vor Version 150.0.7871.47) erlaubt einem entfernten Angreifer, der eine Nutzerin oder einen Nutzer zu bestimmten UI-Interaktionen verleitet, Inhalte einzuschleusen. CVSS-Basiswert: 4.7 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Update auf Chrome 150.0.7871.47 oder neuer.

In der Media-Komponente von Google Chrome vor Version 149.0.7827.155 besteht eine fehlerhafte Implementierung. Ein entfernter Angreifer kann dadurch über eine präparierte HTML-Seite potenziell sensible Informationen aus dem Prozessspeicher auslesen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 149.0.7827.155 oder neuer aktualisieren.

Das Canon EOS Network Setting Tool in Version 1.5.0 oder früher verwendet schwache kryptografische SSH-Algorithmen. CVSS-Basiswert: 6.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In Google Chrome auf iOS vor Version 149.0.7827.53 erlaubt eine unangemessene Implementierung in der Signin-Komponente einem entfernten Angreifer UI-Spoofing über eine präparierte HTML-Seite. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf Google Chrome 149.0.7827.53 oder neuer aktualisieren.

In Google Chrome für iOS vor 149.0.7827.53 erlaubt eine fehlerhafte Implementierung einem entfernten Angreifer, über eine präparierte HTML-Seite UI-Spoofing durchzuführen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf die fehlerbereinigte Version aktualisieren.

Eine ungeeignete Implementierung in der Omnibox von Google Chrome auf iOS vor Version 150.0.7871.47 erlaubte einem entfernten Angreifer, der einen Nutzer zu bestimmten UI-Gesten verleitet, das Einschleusen beliebiger Skripte oder HTML (Universal Cross-Site-Scripting). CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome für iOS auf Version 150.0.7871.47 oder neuer aktualisieren.

Eine unzureichende Validierung nicht vertrauenswürdiger Eingaben in der WebXR-Komponente von Google Chrome (vor Version 150.0.7871.47) erlaubt einem entfernten Angreifer über eine präparierte HTML-Seite die Umgehung von Navigationsbeschränkungen. Betroffen sind neben Google Chrome auch Linux-Distributionen und Betriebssysteme, die Chromium ausliefern. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In Google Chrome vor Version 150.0.7871.47 erlaubt eine unzureichende Durchsetzung von Richtlinien in der Network-Komponente einem entfernten Angreifer, über eine präparierte HTML-Seite die Content Security Policy zu umgehen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf Google Chrome 150.0.7871.47 oder neuer aktualisieren.

Eine fehlerhafte Implementierung in der Glic-Komponente von Google Chrome (vor Version 150.0.7871.47) erlaubt einem entfernten Angreifer, der einen Nutzer zu bestimmten UI-Gesten verleitet, über eine präparierte HTML-Seite UI-Spoofing durchzuführen. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome bzw. Chromium-basierte Browser auf die fehlerbereinigte Version aktualisieren.

Eine fehlerhafte Implementierung in der Serial-Komponente von Google Chrome vor Version 149.0.7827.155 erlaubte einem entfernten Angreifer über eine präparierte HTML-Seite das Einschleusen beliebiger Skripte oder HTML (Universal Cross-Site-Scripting, UXSS). CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf Chrome 149.0.7827.155 oder neuer aktualisieren.

Ein Use-after-free in der Ozone-Komponente von Google Chrome vor Version 149.0.7827.103 könnte einem lokalen Angreifer über physischen Zugriff auf das Gerät die Ausnutzung einer Heap-Corruption ermöglichen. CVSS-Basiswert: 6.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Aktualisierung auf Chrome 149.0.7827.103 oder neuer.

Eine unzureichende Validierung nicht vertrauenswürdiger Eingaben in der Input-Komponente von Google Chrome erlaubt einem entfernten Angreifer, der zuvor den Renderer-Prozess kompromittiert hat, über eine präparierte HTML-Seite die Same-Origin-Policy zu umgehen. Betroffen sind Versionen vor 149.0.7827.155. CVSS-Basiswert: 4.2 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Auf Google Chrome 149.0.7827.155 oder neuer aktualisieren.

In Google Chrome vor Version 147.0.7727.55 besteht eine Race Condition in der WebCodecs-Komponente. Ein entfernter Angreifer kann dadurch über eine manipulierte HTML-Seite potenziell vertrauliche Informationen aus dem Prozessspeicher auslesen. CVSS-Basiswert: 5.3 (Mittel).

In Google Chrome für iOS vor Version 150.0.7871.47 erlaubt eine fehlerhafte Sicherheits-UI einem entfernten Angreifer, über eine präparierte HTML-Seite den Inhalt der Omnibox (Adressleiste) zu fälschen. Dies lässt sich für Phishing bzw. das Vortäuschen einer vertrauenswürdigen URL nutzen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Auf Chrome für iOS 150.0.7871.47 oder neuer aktualisieren.

Eine unangemessene Implementierung in Chrome für iOS in Google Chrome auf iOS vor Version 150.0.7871.47 ermöglicht einem entfernten Angreifer, den Inhalt der Omnibox (URL-Leiste) über eine präparierte HTML-Seite zu fälschen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Auf Google Chrome für iOS 150.0.7871.47 oder neuer aktualisieren.

Eine unzureichende Validierung nicht vertrauenswürdiger Eingaben in Chrome für iOS in Google Chrome auf iOS vor Version 150.0.7871.47 erlaubte einem entfernten Angreifer über eine präparierte HTML-Seite ein UI-Spoofing. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 150.0.7871.47 oder neuer aktualisieren.

In der Passwort-Verwaltung von Google Chrome auf iOS ermöglicht eine fehlerhafte Sicherheits-UI einem entfernten Angreifer über eine präparierte HTML-Seite das Vortäuschen einer falschen Oberfläche (UI-Spoofing). Betroffen sind Versionen vor 150.0.7871.47. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 150.0.7871.47 oder neuer aktualisieren.

InDesign Desktop in den Versionen 21.3, 20.5.3 und früher ist von einer NULL-Pointer-Dereferenzierung betroffen, die zu einem Denial-of-Service der Anwendung führen kann. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Auf eine vom Hersteller bereitgestellte, fehlerbereinigte Version aktualisieren.