Apple (macOS/iOS) Seite 43

Eine fehlerhafte Implementierung im Bereich Passwörter in Google Chrome auf dem Mac vor 150.0.7871.47 erlaubte einem lokalen Angreifer über eine bösartige Datei, potenziell sensible Informationen aus dem Prozessspeicher zu erlangen. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Chrome aktualisieren.

Die Header-Parsing-Logik für PRC-Dateien vertraut den konstruierten Strukturbeschreibungen und liest Array-Elemente aus, ohne deren Vorhandensein zu prüfen, was zu Out-of-bounds-Reads führt. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In Apple macOS wurde ein Zugriffsproblem durch zusätzliche Sandbox-Einschränkungen behoben. Ohne die Korrektur konnte eine bösartige App auf sensible Nutzerdaten zugreifen. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Update auf macOS Tahoe 26.1 einspielen.

Ein Fehler in der Speicherverwaltung wurde behoben. Laut Quelle kann eine App dadurch einen unerwarteten Systemabbruch verursachen. Das Problem ist in macOS Sequoia 15.7.8, macOS Sonoma 14.8.8 sowie macOS Tahoe 26.6 korrigiert. CVSS-Basiswert: 5.0 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Eine Schwachstelle zur lokalen Rechteausweitung im Prisma Browser von Palo Alto Networks erlaubt einem lokal authentifizierten Administrator mit Zugriff auf das lokale macOS-Dateisystem, Aktionen auf dem Gerät auszuführen. CVSS-Basiswert: 6.7 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: die vom Hersteller bereitgestellten Updates einspielen.

Während der PRC-Parsing-Phase fehlt eine Grenzprüfung für den Index der PRC-Entität, was zu einem Out-of-bounds-Read des Entitäts-Arrays führt. In der Folge stürzt die Anwendung ab. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

ClearanceKit überwacht auf macOS Dateisystem-Zugriffe und setzt prozessbezogene Zugriffsrichtlinien durch. Laut NVD betrifft die Schwachstelle den ECDSA-Privatschlüssel, mit dem die auf dem Datenträger gespeicherte Richtliniendatenbank signiert wird. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

ClearanceKit fängt unter macOS Zugriffsereignisse auf das Dateisystem ab und setzt prozessbezogene Zugriffsrichtlinien durch. In Versionen vor 5.0.10 sind die Tabellen des auf der Festplatte abgelegten SQLite-Richtlinienspeichers betroffen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

Ein Out-of-Bounds-Read in der Media-Komponente von Google Chrome vor Version 149.0.7827.53 ermöglicht einem Angreifer im lokalen Netzwerksegment, über bösartigen Netzwerkverkehr einen Speicherbereich ausserhalb der Grenzen auszulesen. CVSS-Basiswert: 4.0 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Auf Google Chrome 149.0.7827.53 oder neuer aktualisieren.

Ein Use-after-Free-Fehler in Safari und weiteren Apple-Betriebssystemen wurde durch verbessertes Memory Management behoben. Der Fix ist enthalten in Safari 26.6, iOS 26.6, iPadOS 26.6, macOS Tahoe 26.6, tvOS 26.6, visionOS 26.6 und watchOS 26.6. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Update auf die genannten Versionen einspielen.

In Apple iOS/iPadOS und macOS wurde eine Race Condition durch verbesserte Zustandsbehandlung behoben. Eine App konnte einen unerwarteten Systemabsturz auslösen. CVSS-Basiswert: 4.7 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: auf iOS 26.5.2, iPadOS 26.5.2 bzw. macOS Tahoe 26.5.2 aktualisieren.

Eine kryptografische Schwäche in PDFium in Google Chrome vor Version 147.0.7727.55 ermöglicht es einem Angreifer, über einen Brute-Force-Angriff potenziell sensible Informationen aus verschlüsselten PDFs auszulesen. Laut CVSS-Vektor ist die Lücke über das Netzwerk unter Nutzerinteraktion ausnutzbar und beeinträchtigt die Vertraulichkeit in geringem Umfang. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Aktualisierung von Google Chrome auf Version 147.0.7727.55 oder neuer.

In Chrome for iOS von Google Chrome vor Version 151.0.7922.72 erlaubt eine unzureichende Richtliniendurchsetzung einem entfernten Angreifer, über eine präparierte HTML-Seite UI-Spoofing durchzuführen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet.

Eine Denial-of-Service-Schwachstelle in macOS wurde durch Entfernen des verwundbaren Codes behoben. Der Fix ist enthalten in macOS Tahoe 26.6. Laut Quelle kann ein lokaler Angreifer dadurch einen Denial of Service auslösen. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Update auf macOS Tahoe 26.6 einspielen.

In Apple macOS wurde laut NVD ein Problem durch zusätzliche Entitlement-Prüfungen behoben. Die Lücke ist in macOS Sequoia 15.7.8 und macOS Sonoma 14.8.8 geschlossen. Ein lokaler Angreifer könnte dadurch die Konfiguration des veralteten VNC-Passworts bestimmen. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Verfügbares Update einspielen.

Eine Race Condition in Chrome für iOS in Google Chrome auf iOS vor Version 150.0.7871.47 ermöglicht einem lokalen Angreifer mit physischem Zugriff auf das Gerät, potenziell sensible Informationen aus dem Prozessspeicher auszulesen. CVSS-Basiswert: 4.2 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Auf Google Chrome für iOS 150.0.7871.47 oder neuer aktualisieren.

Eine Race Condition wurde durch zusätzliche Validierung behoben. Laut Hersteller könnte eine App dadurch Zugriff auf sensible Nutzerdaten erlangen. Der Fehler ist behoben in macOS Sequoia 15.7.8, macOS Sonoma 14.8.8 und macOS Tahoe 26.6. CVSS-Basiswert: 4.7 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: betroffene macOS-Versionen auf die fehlerbereinigten Stände aktualisieren.

Eine Race Condition wurde durch verbesserte Zustandsverwaltung behoben. Eine App könnte dadurch auf sensible Nutzerdaten zugreifen. Der Fix ist enthalten in macOS Sequoia 15.7.8, macOS Sonoma 14.8.8 und macOS Tahoe 26.6. CVSS-Basiswert: 4.7 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Im Quarantäne- und Wiederherstellungsablauf der X-VPN-Anwendung für macOS (Versionen 77.0 bis 77.5) kann ein lokaler Angreifer über eine Race Condition und Symlink-Manipulation erhöhte Rechte erlangen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In der Views-Komponente von Google Chrome unter macOS vor Version 151.0.7922.72 besteht eine fehlerhafte Implementierung. Ein lokaler Angreifer kann darüber potenziell sensible Informationen aus dem Prozessspeicher über eine präparierte HTML-Seite auslesen. CVSS-Basiswert: 6.2 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In der Views-Komponente von Google Chrome auf macOS liegt eine unsachgemässe Implementierung vor. Ein lokaler Angreifer kann darüber mittels einer präparierten HTML-Seite potenziell sensible Informationen aus dem Prozessspeicher auslesen. Betroffen sind Versionen von Google Chrome auf macOS vor 151.0.7922.72. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Update auf Google Chrome 151.0.7922.72 oder neuer einspielen.

Eine Race Condition in iOS und iPadOS wurde durch verbesserte Prüfungen behoben. Der Fix ist enthalten in iOS 26.6 und iPadOS 26.6. Laut Quelle könnte eine App dadurch geschützte Teile des Dateisystems verändern. CVSS-Basiswert: 4.7 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Update auf iOS 26.6 bzw. iPadOS 26.6 einspielen.

In Google Chrome vor Version 149.0.7827.53 erlaubt eine unangemessene Implementierung in der Cast-Komponente einem Angreifer im selben lokalen Netzsegment, über bösartigen Netzwerkverkehr die diskretionäre Zugriffskontrolle zu umgehen. CVSS-Basiswert: 5.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: auf Google Chrome 149.0.7827.53 oder neuer aktualisieren.

Im Software-Update-Framework Sparkle für macOS prüft in Versionen bis einschliesslich 2.9.1 die Methode shouldAcceptNewConnection: in Autoupdate/AppInstaller.m eingehende Verbindungen nur unzureichend über den SUCodeSigningVerifier. CVSS-Basiswert: 4.2 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: auf eine Sparkle-Version neuer als 2.9.1 aktualisieren.

Electron ist ein Framework zur Entwicklung plattformübergreifender Desktop-Anwendungen mit JavaScript, HTML und CSS. Vor den Versionen 39.8.8, 40.9.0, 41.2.1 und 42.0.0-beta.3 besteht laut NVD eine Schwachstelle bei der Prüfung, mit der Electron auf macOS eine Berechtigung bestätigt. Weitere Details zu den Auswirkungen sind in den Quelldaten nicht enthalten. CVSS-Basiswert: 6.3 (Mittel). Laut Zuordnung sind zudem Zoho ManageEngine, Check Point und Apple (macOS/iOS) betroffen.

GoAccess ist ein Echtzeit-Weblog-Analysewerkzeug für Terminal und Browser auf *nix-Systemen. Vor Version 1.11 verarbeitet die Funktion parse_ios() ein vom Angreifer kontrollierbares Schlüsselwort unsicher. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor, ebenso keine Angabe zur Ausnutzungswahrscheinlichkeit (EPSS).

Laut einer manuell erfassten Community-Meldung (reddit:r/blueteamsec) beschreibt ein Beitrag den Zugriff auf sensible Kontodaten der Passwords-App unter macOS (CVE-2025-24169). Der Beitrag besteht nur aus Titel und Link; weitere technische Details, ein CVSS-Wert oder Angaben zu einem Patch liegen in der erfassten Quelle nicht vor. Mangels belegter Kennzahlen wird die Einstufung neutral mit Mittel geführt. Es liegen keine Hinweise auf aktive Ausnutzung (CISA KEV) oder einen Einsatz in Ransomware-Kampagnen vor.

In der Überauth-Strategie überauth_apple ermöglicht eine Authentifizierungsumgehung durch Spoofing die Übernahme von Konten über nicht validierte Claims im ID-Token. Die Funktion Überauth.Strategy.Apple.Token.payload/2 prüft die Claims unzureichend. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

openSIS Classic 9.3 enthält eine authentifizierte Path-Traversal- Schwachstelle in der Legacy-Messaging-Funktion zum Herunterladen von E-Mail-Anhängen. Ein authentifizierter Angreifer kann dadurch beliebige Dateien lesen. CVSS-Basiswert: 6.5 (Mittel).

Eine unangemessene Implementierung in der Extensions-Komponente von Google Chrome vor Version 149.0.7827.115 ermöglicht es einem entfernten Angreifer, der den Renderer-Prozess kompromittiert hat, über eine präparierte HTML-Seite die Site-Isolation zu umgehen. CVSS-Basiswert: 3.1 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Aktualisierung auf Google Chrome 149.0.7827.115 oder neuer.

Eine unzureichende Validierung nicht vertrauenswürdiger Eingaben in der WebAuthentication-Komponente von Google Chrome vor Version 149.0.7827.53 erlaubte einem entfernten Angreifer, der den Renderer-Prozess kompromittiert hatte, die Umgehung der Same-Origin-Policy. CVSS-Basiswert: 3.1 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 149.0.7827.53 oder neuer aktualisieren.

In der Grafikbibliothek Skia von Google Chrome vor Version 149.0.7827.103 ermöglicht ein Lesezugriff ausserhalb der gültigen Grenzen (Out-of-Bounds-Read) einem entfernten Angreifer, der den Renderer-Prozess bereits kompromittiert hat, das Auslesen von Cross-Origin-Daten über eine präparierte HTML-Seite. CVSS-Basiswert: 3.1 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 149.0.7827.103 oder neuer aktualisieren.

Eine unangemessene Implementierung in der Passwortverwaltung von Google Chrome vor Version 149.0.7827.155 erlaubt einem entfernten Angreifer, der einen Nutzer zu bestimmten UI-Interaktionen verleitet, Cross-Origin-Daten über eine präparierte HTML-Seite auszulesen. CVSS-Basiswert: 3.1 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 149.0.7827.155 oder neuer aktualisieren.

Eine unzureichende Validierung nicht vertrauenswürdiger Eingaben in der Loader-Komponente von Google Chrome vor Version 149.0.7827.53 ermöglicht es einem entfernten Angreifer, der den Renderer-Prozess kompromittiert hat, über eine präparierte HTML-Seite die Site-Isolation zu umgehen. CVSS-Basiswert: 3.1 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Aktualisierung auf Google Chrome 149.0.7827.53 oder neuer.

Eine unzureichende Policy-Durchsetzung im Password Manager von Google Chrome vor Version 149.0.7827.53 erlaubte einem entfernten Angreifer, der den Renderer-Prozess kompromittiert hatte, die diskretionäre Zugriffskontrolle zu umgehen. CVSS-Basiswert: 3.1 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Auf Chrome 149.0.7827.53 oder neuer aktualisieren.

In der DataTransfer-Funktion von Google Chrome auf Mac ermöglicht eine unsachgemässe Implementierung einem entfernten Angreifer, der einen Benutzer zu bestimmten UI-Gesten verleitet, das Auslesen von Cross-Origin-Daten. Betroffen sind Versionen vor 150.0.7871.47. CVSS-Basiswert: 3.1 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 150.0.7871.47 oder neuer aktualisieren.

Ein Type-Confusion-Problem in Apple macOS wurde durch verbesserte Speicherbehandlung adressiert; ein Angreifer kann damit einen unerwarteten Anwendungsabbruch auslösen. Behoben in macOS Sequoia 15.6, macOS Sonoma 14.7.7 und macOS Ventura 13.7.7. CVSS-Basiswert: 3.3 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Auf die genannten macOS-Versionen aktualisieren.

Eine unzureichende Richtliniendurchsetzung in der Netzwerkkomponente von Google Chrome erlaubt einem entfernten Angreifer, der zuvor den Utility-Prozess kompromittiert hat, über eine präparierte HTML-Seite Cross-Origin-Daten offenzulegen. Betroffen sind Versionen vor 149.0.7827.103. CVSS-Basiswert: 3.1 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Auf Google Chrome 149.0.7827.103 oder neuer aktualisieren.

Eine unzureichende Validierung nicht vertrauenswürdiger Eingaben in der Dawn-Komponente von Google Chrome auf macOS vor Version 149.0.7827.103 ermöglicht einem entfernten Angreifer, der den Renderer-Prozess kompromittiert hat, Cross-Origin-Daten auszulesen. CVSS-Basiswert: 3.1 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Auf Google Chrome 149.0.7827.103 oder neuer aktualisieren.

Eine unzureichende Validierung nicht vertrauenswürdiger Eingaben in der New Tab Page von Google Chrome vor Version 149.0.7827.103 erlaubt einem entfernten Angreifer, der bereits den Renderer-Prozess kompromittiert hat, das Auslesen von Cross-Origin-Daten. CVSS-Basiswert: 3.1 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 149.0.7827.103 oder neuer aktualisieren.

Eine unzureichende Validierung nicht vertrauenswürdiger Eingaben im Compositing von Google Chrome vor Version 147.0.7727.138 erlaubte es einem entfernten Angreifer, der den Renderer-Prozess kompromittiert hatte, die Site-Isolation zu umgehen. CVSS-Basiswert: 3.1 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Aktualisierung auf Google Chrome 147.0.7727.138 oder neuer.

Eine Person mit Zugriff auf einen Mac könnte in der Lage sein, das Anmeldefenster (Login Window) zu umgehen. Das Problem wurde durch verbesserte Zustandsbehandlung adressiert und ist in macOS Monterey 12.4 behoben. CVSS-Basiswert: 3.5 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Auf macOS Monterey 12.4 oder neuer aktualisieren.

In macOS wurden zusätzliche Einschränkungen am Sperrbildschirm ergänzt, um ein Sicherheitsproblem zu beheben, das im Zusammenhang mit physischem Zugriff auf ein gesperrtes Gerät steht. Das Problem ist behoben in macOS Sequoia 15.7.8 und macOS Tahoe 26.6. CVSS-Basiswert: 2.4 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf die genannten Versionen aktualisieren.

In Google Chrome für iOS vor Version 151.0.7922.72 besteht eine fehlerhafte Implementierung. Ein entfernter Angreifer, der einen Nutzer zu bestimmten UI-Gesten verleitet hat, kann dadurch ursprungsübergreifende Daten abgreifen. CVSS-Basiswert: 3.1 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In Google Chrome vor Version 147.0.7727.138 erlaubte eine Race Condition in der MHTML-Komponente einem Angreifer, der einen Benutzer zur Installation einer schädlichen Erweiterung bewegen konnte, den Abfluss von Cross-Origin-Daten über eine präparierte Chrome-Erweiterung. CVSS-Basiswert: 3.1 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Aktualisierung auf Version 147.0.7727.138 oder neuer.

In der iOS-Version von Google Chrome vor Version 151.0.7922.72 liegt eine fehlerhafte Implementierung vor. Ein lokaler Angreifer mit physischem Zugriff auf das Gerät kann dadurch potenziell sensible Informationen aus dem Prozessspeicher auslesen. CVSS-Basiswert: 2.4 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.