Apple: Vier Zero-Day-Lücken – drei bereits ausgenutzt

In macOS, iOS & iPadOS 7 Zero Days bei Apple, 3 davon aktiv ausgenutzt

Mit vier neuen Zero-Day-Sicherheitslücken und drei aktiv ausgenutzten Schwachstellen hat Apple derzeit alle Hände voll zu tun. Fehler in der Audio- und Bildverarbeitung sowie unzureichende Eingabevalidierung könnten zur Ausführung von Code führen.

Betroffen von den Sicherheitslücken sind die Apple-Produkte macOS, iOS, iPadOS, tvOS, watchOS und visionOS.

(Bild: ImageFlow - stock.adobe.com)

Apple muss derzeit einige Löcher stopfen. Nachdem eine Zero-Day-Sicherheitslücke im Dy­na­mic Link Editor alle un­ter­stützten Apple-Betriebssysteme bedrohte, warnt die Zero Day Ini­tia­ti­ve (ZDI) von Trend Micro nun vor vier Zero-Day-Schwachstellen in macOS. Gleichzeitig hat die Cybersecurity and Infrastructure Security Agency drei weitere Schwachstellen in ihren Katalog der Known and Exploited Vulnerabilites aufgenommen. Um diese Sicherheitslücken handelt es sich:

• EUVD-2023-46433 / CVE-2023-41974 (CVSS-Score 7.8, EPSS-Score 0.50), im KEV-Katalog gelistet

• EUVD-2021-17869 / CVE-2021-30952 (CVSS-Score 7.8, EPSS-Score 1.55), im KEV-Katalog gelistet

• EUVD-2023-47421^* / CVE-2023-43000 (CVSS-Score 8.8, EPSS-Score 0.11), im KEV-Katalog gelistet

• EUVD-2026-7370 / CVE-2026-20616 (CVSS-Score der EUVD 6.5, CVSS-Score der ZDI 7.8, EPSS-Score 0.05), gemeldet von der ZDI
  

• EUVD-2026-6193 / CVE-2026-20675 (CVSS-Score der EUVD 5.5, CVSS-Score der ZDI 7.8, EPSS-Score 0.01), gemeldet von der ZDI
  

• EUVD-2026-6196 / CVE-2026-20611 (CVSS-Score der EUVD 7.1, CVSS-Score der ZDI 7.8, EPSS-Score 0.01), gemeldet von der ZDI

• EUVD-2026-6198 / CVE-2026-20634 (CVSS-Score der EUVD 5.5, CVSS-Score der ZDI 3.3, EPSS-Score 0.01), gemeldet von der ZDI

Apple-Schwachstellen im KEV-Katalog

EUVD-2023-46433 / CVE-2023-41974 betrifft alle iOS-Versionen vor 17.0 und iPadOS-Versionen vor 17.0. Es handelt sich um eine Use-After-Free-Schwachstelle, die Apple durch verbesserte Speicherverwaltung in iOS 17 und iPadOS 17 sowie iOS 15.8.7 und iPadOS 15.8.7 behoben hat. Eine App konnte möglicherweise beliebigen Code mit Kernel-Rechten ausführen. Die Sicher­heits­lücke betrifft Kernel von Apple iOS und iPadOS und ermöglicht es potenziell jeder bösartigen App, die bereits auf einem Gerät installiert ist oder auf diesem ausgeführt wird, beliebigen Code mit Kernel-Rechten auszuführen. Apple nennt keine spezifische Drittanbieter-App, die be­trof­fen ist. Scheinbar können alle Apps, die mit dieser Schwachstelle interagieren, ausgenutzt werden, um einen erhöhten Zugriff auf das System zu erlangen.

Auch EUVD-2023-47421 / CVE-2023-43000 beschreibt einen Use-After-Free-Fehler. Dabei konnte die Verarbeitung von manipulierten Webinhalten zu Speicherbeschädigungen führen. iOS und iPadOS sind davon sowohl in Versionen vor 15.8.7 sowie vor 16.6 betroffen, macOS-Versionen vor 13.5 und Safari-Versionen vor 16.6.

Ein Integer-Überlauf, der mit EUVD-2021-17869 / CVE-2021-30952 beschrieben wird, betrifft verschiedene Apple-Produkte und spezifische SUSE Linux Enterprise-Versionen. Dabei konnte die Verarbeitung von manipulierten Webinhalten zur Ausführung von beliebigem Code führen. Diese Apple-Produkte sind anfällig:

• iOS und iPadOS vor Version 15.2

• macOS Monterey vor Version 12.1

• Safarivor Version 15.2

• tvOS vor Version 15.2

• watchOS vor Version 8.3

Der Hersteller hat das Problem mit tvOS 15.2, macOS Monterey 12.1, Safari 15.2, iOS 15.2, iPadOS 15.2 und watchOS 8.3 behoben.

Zero-Day-Sicherheitslücken, vorrangig macOS betroffen

EUVD-2026-6198 / CVE-2026-20634 und EUVD-2026-6193 / CVE-2026-20675 betreffen beide das ImageIO-Framework von macOS, was sich auch auf iOS und iPadOS auswirkt. Angreifer konnten sensible Informationen auf betroffenen Apple macOS-Installationen offenlegen und – in Verbindung mit anderen Schwachstellen – beliebigen Code ausführen. Die gefixten Ver­sio­nen sind:

• watchOS 26.3

• tvOS 26.3

• macOS Tahoe 26.3

• macOS Sonoma 14.8.4

• macOS Sequoia 15.7.4

• iOS 18.7.5

• iPadOS 18.7.5

• visionOS 26.3

• iOS 26.3

• iPadOS 26.3

EUVD-2026-7370 / CVE-2026-20616 ist eine Sicherheitslücke in Apples Bibliothek „libusd_ms“, die während der Verarbeitung von Alembic-Dateien auftritt. Sie ermöglicht es Angreifern, durch unzureichende Validierung von Benutzereingaben über Alembic-Dateien Daten über den zu­ge­wie­se­nen Speicherbereich hinaus zu schreiben, was zur Ausführung von beliebigem Code im Kontext des aktuellen Prozesses führen kann. Betroffen sind iOS- und iPadOS-Versionen vor 18.7, visionOS vor 26.3 und macOS-Versionen vor 14.8 sowie vor 26.3.

Auch EUVD-2026-6196 / CVE-2026-20611 betrifft macOS, allerdings die Komponente macOS Audio APAC Frame Decoding. Angreifer, die die Schwachstelle erfolgreich ausnutzen, konnten beliebigen Code auf betroffenen macOS-Installationen ausführen. Grund dafür war eine feh­ler­hafte Dekodierung von APAC-Audio-Dateien, die es ermöglichte, Daten über den zugewiesenen Speicherbereich hinaus zu schreiben. Betroffen sind die Versionen macOS Tahoe 26.3, macOS Sonoma 14.8.4, watchOS 26.3, tvOS 26.3, iOS 18.7.5 und iPadOS 18.7.5.

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

(ID:50783537)