Aktywnie wykorzystywana w atakach
Apple Multiple Products WebKit Use-After-Free Vulnerability
Apple - Multiple Products · Figuruje w katalogu CISA KEV od 2023-04-10. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply updates per vendor instructions.
CVE-2023-28205
WysokieCVSS 8.8KEVStreszczenie
Podatność typu use after free w przeglądarce Safari i systemach Apple została naprawiona poprzez poprawę zarządzania pamięcią. Problem występuje w Safari 16.4.1, iOS 15.7.5 i iPadOS 15.7.5, iOS 16.4.1 i iPadOS 16.4.1 oraz macOS Ventura 13.3.1. Przetwarzanie złośliwej treści internetowej może prowadzić do wykonania dowolnego kodu, a Apple wie o doniesieniach o aktywnej eksploatacji.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wykonania dowolnego kodu poprzez złośliwą stronę internetową, co może prowadzić do przejęcia urządzenia. Istnieją doniesienia o aktywnej eksploatacji, co zwiększa ryzyko.
Rekomendacja
Należy natychmiast zaktualizować Safari do wersji 16.4.1 oraz systemy iOS/iPadOS do wersji 15.7.5 lub 16.4.1, a macOS Ventura do 13.3.1.
Inne podatności w Safari
Zobacz wszystkie- CVE-2017-2389Wysokie
W niektórych produktach Apple odkryto problem, który dotyczy systemu iOS przed wersją 10.3 oraz przeglądarki Safari przed wersją 10.1. Problem ten związany jest z komponentem 'Safari' i pozwala zdalnym atakującym na podszywanie się pod arkusz uwierzytelniania HTTP lub wywołanie odmowy usługi poprzez spreparowaną stronę internetową.
- CVE-2017-2376Wysokie
W niektórych produktach Apple, w tym iOS przed wersją 10.3 oraz Safari przed wersją 10.1, odkryto problem związany z komponentem 'Safari'. Umożliwia on zdalnym atakującym fałszowanie paska adresu poprzez wykorzystanie wprowadzania tekstu podczas ładowania strony.
- CVE-2026-86898Średnie
Problem logiczny został rozwiązany poprzez ulepszone zarządzanie stanem. Luka występuje w Safari 27, iOS 27, iPadOS 27, macOS Golden Gate 27 oraz visionOS 27. Otwarcie złośliwie spreparowanego pliku webarchive może prowadzić do uniwersalnego cross-site scripting.
- CVE-2026-86897Średnie
Luka została rozwiązana poprzez dodatkowe sprawdzenia uprawnień (entitlements). Problem występuje w Safari 27, iOS 26.7, iPadOS 26.7, iOS 27, iPadOS 27, macOS Golden Gate 27 oraz visionOS 27. Aplikacja może uzyskać dostęp do poufnych danych użytkownika.
- CVE-2026-84518Średnie
Problem został rozwiązany poprzez poprawione zarządzanie stanem. Problem dotyczy Safari 27, iOS 27, iPadOS 27, macOS Golden Gate 27. Złośliwa strona internetowa może określić, jakie aplikacje ma zainstalowane użytkownik.
- CVE-2026-65351Średnie
Podatność w komponencie WebKit przeglądarki Safari została naprawiona poprzez poprawę zarządzania stanem. Przetwarzanie złośliwie spreparowanej treści internetowej może doprowadzić do nieoczekiwanego zawieszenia (crash) przeglądarki Safari.
- CVE-2026-65340Średnie
Problem został rozwiązany poprzez ulepszone zarządzanie stanem. Luka jest naprawiona w Safari 26.6.1, iOS 18.7.10 i iPadOS 18.7.10, iOS 26.6.1 i iPadOS 26.6.1, macOS Tahoe 26.6.2 oraz visionOS 27. Przetwarzanie złośliwie spreparowanej treści internetowej może prowadzić do nieoczekiwanej awarii Safari.
- CVE-2026-65338Średnie
Problem został rozwiązany poprzez ulepszone zarządzanie pamięcią. Luka jest naprawiona w Safari 26.6.1, iOS 18.7.10 i iPadOS 18.7.10, iOS 26.6.1 i iPadOS 26.6.1, macOS Tahoe 26.6.2 oraz visionOS 27. Przetwarzanie złośliwie spreparowanej treści internetowej może prowadzić do nieoczekiwanej awarii Safari.
- CVE-2026-65337Średnie
Problem został rozwiązany poprzez ulepszone zarządzanie stanem. Luka jest naprawiona w Safari 26.6.1, iOS 18.7.10 i iPadOS 18.7.10, iOS 26.6.1 i iPadOS 26.6.1, macOS Tahoe 26.6.2 oraz visionOS 27. Przetwarzanie złośliwie spreparowanej treści internetowej może prowadzić do nieoczekiwanej awarii Safari.
- CVE-2026-65336Średnie
Problem został rozwiązany poprzez ulepszone zarządzanie stanem. Luka jest naprawiona w Safari 26.6.1, iOS 18.7.10 i iPadOS 18.7.10, iOS 26.6.1 i iPadOS 26.6.1, macOS Tahoe 26.6.2 oraz visionOS 27. Przetwarzanie złośliwie spreparowanej treści internetowej może prowadzić do nieoczekiwanej awarii Safari.
Oryginalny opis (angielski, źródło NVD)
A use after free issue was addressed with improved memory management. This issue is fixed in Safari 16.4.1, iOS 15.7.5 and iPadOS 15.7.5, iOS 16.4.1 and iPadOS 16.4.1, macOS Ventura 13.3.1. Processing maliciously crafted web content may lead to arbitrary code execution. Apple is aware of a report that this issue may have been actively exploited.