Aktywnie wykorzystywana w atakach
Apple Multiple Products Code Execution Vulnerability
Apple - Multiple Products · Figuruje w katalogu CISA KEV od 2024-01-08. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
CVE-2023-41990
WysokieCVSS 7.8KEVStreszczenie
Podatność w systemach tvOS 16.3, iOS 16.3, iPadOS 16.3, macOS Monterey 12.6.8, macOS Big Sur 11.7.9, iOS 15.7.8, iPadOS 15.7.8, macOS Ventura 13.2 i watchOS 9.3 została naprawiona poprzez ulepszone przetwarzanie pamięci podręcznych. Przetwarzanie pliku czcionki może prowadzić do wykonania dowolnego kodu. Apple potwierdza, że podatność mogła być aktywnie wykorzystywana w wersjach iOS przed 15.7.1.
Ocena ryzyka
Zdalny atakujący może wykonać dowolny kod na urządzeniu ofiary poprzez spreparowany plik czcionki. Aktywne wykorzystanie wcześniej oznacza wysokie ryzyko dla niezałatanych urządzeń.
Rekomendacja
Natychmiast zaktualizuj urządzenia Apple do najnowszych wersji systemów. Unikaj przetwarzania nieznanych plików czcionek.
Inne podatności w iOS
Zobacz wszystkie- CVE-2023-42824WysokieAktywnie exploitowane
Podatność w systemach iOS i iPadOS została naprawiona poprzez ulepszone mechanizmy sprawdzania. Luka pozwala lokalnemu atakującemu na podniesienie uprawnień. Apple potwierdza, że podatność mogła być aktywnie wykorzystywana w wersjach iOS przed 16.6.
- CVE-2023-41992WysokieAktywnie exploitowane
Podatność w systemach macOS Monterey 12.7, iOS 16.7, iPadOS 16.7 i macOS Ventura 13.6 została naprawiona poprzez ulepszone mechanizmy sprawdzania. Lokalny atakujący może podnieść swoje uprawnienia. Apple potwierdza, że podatność mogła być aktywnie wykorzystywana w wersjach iOS przed 16.7.
- CVE-2021-30666WysokieAktywnie exploitowane
Problem przepełnienia bufora został rozwiązany poprzez ulepszone zarządzanie pamięcią. Podatność została naprawiona w iOS 12.5.3. Przetwarzanie złośliwie spreparowanej treści internetowej może prowadzić do wykonania dowolnego kodu.
- CVE-2026-86904Wysokie
Problem z prywatnością został rozwiązany poprzez ulepszone zarządzanie stanem. Luka występuje w systemach iOS 26.7, iPadOS 26.7, iOS 27, iPadOS 27 oraz watchOS 27. Aplikacja może śledzić użytkowników w aplikacjach i witrynach bez zgody.
- CVE-2026-86903Średnie
Odczyt poza zakresem został rozwiązany poprzez ulepszoną walidację danych wejściowych. Luka występuje w systemach iOS 27, iPadOS 27, macOS Golden Gate 27, tvOS 27, visionOS 27 oraz watchOS 27. Aplikacja może ujawnić pamięć jądra.
- CVE-2026-43674Średnie
Problem z uwierzytelnianiem w systemach iOS 27 i iPadOS 27 został rozwiązany poprzez ulepszone zarządzanie stanem. Atakujący z fizycznym dostępem do odblokowanego urządzenia może wyświetlić hasła Wi-Fi bez uwierzytelnienia.
- CVE-2026-28938Wysokie
Problem z prywatnością został rozwiązany poprzez przeniesienie wrażliwych danych. Podatność występuje w iOS 26.6 i iPadOS 26.6. Aplikacja może być w stanie fingerprintować użytkownika.
- CVE-2026-43653Średnie
Poprawiono obsługę pamięci w iOS, iPadOS, macOS i tvOS. Atakujący w lokalnej sieci może spowodować odmowę usługi (DoS).
Oryginalny opis (angielski, źródło NVD)
The issue was addressed with improved handling of caches. This issue is fixed in tvOS 16.3, iOS 16.3 and iPadOS 16.3, macOS Monterey 12.6.8, macOS Big Sur 11.7.9, iOS 15.7.8 and iPadOS 15.7.8, macOS Ventura 13.2, watchOS 9.3. Processing a font file may lead to arbitrary code execution. Apple is aware of a report that this issue may have been actively exploited against versions of iOS released before iOS 15.7.1.