WithSecure (F-Secure) Seite 2

Im SEPPmail Secure Email Gateway vor Version 15.0.3 können Angreifer mit einer speziell gestalteten E-Mail-Adresse die PGP-Signatur eines anderen Nutzers als eigene beanspruchen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

Im SEPPmail Secure Email Gateway vor Version 15.0.3 können Angreifer durch eine speziell gestaltete E-Mail-Adresse den Inhalt von verschlüsselten E-Mails anderer Benutzer lesen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In Ivanti Secure Access Client vor Version 22.8R6 ermöglicht eine Race Condition einem lokal authentifizierten Benutzer, seine Rechte auf SYSTEM-Ebene zu erhöhen. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

Im Secure Access Windows Client vor Version 14.50 von Ivanti (Pulse/Connect Secure) wurde eine Schwachstelle für beliebiges Lesen und Schreiben entdeckt. Angreifer mit lokalem Zugriff auf den Windows-Client können durch das Senden von manipulierten Daten an eine API die Schwachstelle ausnutzen. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

Für WithSecure (F-Secure)-Produkte wurde eine Sicherheitslücke (CVE-2024-45520) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Der iOS-Client der Wire-Messaging-Anwendung (wire-ios) ist in Versionen vor 4.16.0 anfällig für manipulierte Proteus-Externe-Nachrichten mit einem verschlüsselten Payload. CVSS-Basiswert: 6.5 (Mittel).

In Kiteworks vor Version 9.3.0 ermöglicht eine Insecure-Direct-Object-Reference-Schwachstelle (IDOR) in den Secure Data Forms einem authentifizierten Angreifer die Manipulation von Daten anderer Benutzer. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

HAX CMS dient der Verwaltung von Microsite-Umgebungen mit PHP- oder Node.js-Backend. Ab Version 25.0.0 und vor Version 26.0.0 wird das Cookie haxcms_refresh_token ohne das Secure-Flag gesetzt, wodurch es über unverschlüsselte Verbindungen übertragen und abgegriffen werden kann. Ein CVSS-Basiswert liegt nicht in den Quelldaten vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Auf HAX CMS 26.0.0 oder neuer aktualisieren.

Beim Scannen von manipulierten PE32-Binärdateien kann in F-Secure Atlant und bestimmten WithSecure-Produkten ein Absturz der Scan-Engine ausgelöst werden, was zu einem Denial-of-Service führt. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In Kiteworks (einem privaten Datennetzwerk) wurde vor Version 9.3.0 eine Insecure-Direct-Object-Reference-Schwachstelle (IDOR) in den Secure Data Forms entdeckt, die einem authentifizierten Benutzer die unberechtigte Modifikation von Ressourcen ermöglicht. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

OP-TEE ist ein Trusted Execution Environment (TEE), das als Ergänzung zu einem Non-Secure-Linux-Kernel auf Arm-Cortex-A-Kernen mit TrustZone-Technologie läuft. Ab Version 4.3.0 besteht eine Schwachstelle, die einem lokal privilegierten Angreifer die Beeinträchtigung der Verfügbarkeit ermöglichen kann. CVSS-Basiswert: 4.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In Kiteworks (einem privaten Datennetzwerk) wurde vor Version 9.3.0 eine Insecure-Direct-Object-Reference-Schwachstelle (IDOR) in den Secure Data Forms entdeckt, die einem authentifizierten Benutzer die unberechtigte Modifikation von Ressourcen ermöglicht. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In Kiteworks (einem privaten Datennetzwerk) wurde vor Version 9.3.0 eine Insecure-Direct-Object-Reference-Schwachstelle (IDOR) in den Secure Data Forms entdeckt, die einem authentifizierten Benutzer die unberechtigte Änderung von Berechtigungen ermöglicht. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In Kiteworks (einem privaten Datennetzwerk) wurde vor Version 9.3.0 eine gespeicherte Cross-Site-Scripting-Schwachstelle in den Secure Data Forms entdeckt, die einem authentifizierten Angreifer die Ausführung von beliebigem JavaScript-Code ermöglicht. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Für WithSecure (F-Secure)-Produkte wurde eine Sicherheitslücke (CVE-2024-47193) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Für WithSecure (F-Secure)-Produkte wurde eine Sicherheitslücke (CVE-2024-4454) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Im AMD Secure Processor (ASP) ermöglicht eine unzureichende Granularität der Zugriffskontrolle einer nicht vertrauenswürdigen Benutzeranwendung, sensible SMN-Apertures (System Management Network) abzubilden. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

OP-TEE ist eine Trusted Execution Environment (TEE), die als Begleiter zu einem nicht-sicheren Linux-Kernel auf Arm-Cortex-A-Kernen mit TrustZone-Technologie ausgelegt ist. In Versionen vor 4.11.0 besteht auf vielen betroffenen Geräten eine Schwachstelle, die die Vertraulichkeit beeinträchtigen kann. CVSS-Basiswert: 4.7 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: auf OP-TEE 4.11.0 oder neuer aktualisieren.

Für WithSecure (F-Secure)-Produkte wurde eine Sicherheitslücke (CVE-2024-27357) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

Für WithSecure (F-Secure)-Produkte wurde eine Sicherheitslücke (CVE-2024-27358) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In Citrix Secure Access Client für Windows und Citrix Endpoint Analysis Client für Windows besteht eine Schwachstelle durch unsachgemässe Rechteverwaltung (Improper Privilege Management). Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: die vom Hersteller bereitgestellten Updates einspielen.

Im Citrix Secure Access Client für Windows besteht eine Out-of-bounds-Read-Schwachstelle. Betroffen sind Versionen vor 26.6.1.20. Ein CVSS- und ein EPSS-Wert liegen in den Quelldaten nicht vor. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt. Empfohlene Massnahme: den Citrix Secure Access Client auf Version 26.6.1.20 oder neuer aktualisieren.

Für WithSecure (F-Secure)-Produkte wurde eine Sicherheitslücke (CVE-2025-26790) gemeldet. Weitere technische Details liegen derzeit nicht vor.

In Kiteworks (einem privaten Datennetzwerk) wurde vor Version 9.3.0 eine Insecure-Direct-Object-Reference-Schwachstelle (IDOR) in den Secure Data Forms entdeckt, die einem authentifizierten Benutzer den unberechtigten Zugriff auf Metadaten ermöglicht. CVSS-Basiswert: 3.7 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.