Aktywnie wykorzystywana w atakach
Apple Multiple Products Use-After-Free Vulnerability
Apple - Multiple Products · Figuruje w katalogu CISA KEV od 2025-01-29. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
CVE-2025-24085
KrytyczneCVSS 10.0KEVStreszczenie
Wykryto problem związany z używaniem pamięci po jej zwolnieniu, który został rozwiązany dzięki poprawie zarządzania pamięcią. Problem ten został naprawiony w iOS 18.3, iPadOS 18.3, iPadOS 17.7.6, macOS Sequoia 15.3, macOS Sonoma 14.7.5, macOS Ventura 13.7.5, tvOS 18.3, visionOS 2.3 oraz watchOS 11.3.
Ocena ryzyka
Złośliwa aplikacja może być w stanie podnieść swoje uprawnienia, co stwarza ryzyko dla bezpieczeństwa systemu. Apple jest świadome raportu, że problem ten mógł być aktywnie wykorzystywany w wersjach iOS przed 17.2.
Rekomendacja
Zaleca się aktualizację systemów do najnowszych wersji, aby zniwelować ryzyko związane z tą podatnością.
Powiązane podatności
- CVE-2026-109694Krytyczne
Wtyczka Fluent CRM (do 3.2.5) zawiera podatność nieprawidłowego przypisania uprawnień, która umożliwia eskalację uprawnień. Atakujący może wykorzystać tę lukę do uzyskania wyższych uprawnień w systemie WordPress.
- CVE-2026-108497Krytyczne
Wtyczka Amelia Booking (do 2.4.10) zawiera podatność wstrzyknięcia SQL (SQL Injection) wynikającą z nieprawidłowej neutralizacji specjalnych elementów w zapytaniach SQL. Atakujący może wykonać dowolne zapytania SQL, co może prowadzić do wycieku lub modyfikacji danych.
- CVE-2026-50619Krytyczne
W Qsirch wykryto podatność typu path traversal, która może pozwolić zdalnym atakującym na odczyt nieoczekiwanych plików lub danych systemowych. Podatność została naprawiona w wersji 7.0.3.0 i późniejszych.
- CVE-2026-50612Krytyczne
W QuMagie wykryto podatność polegającą na podążaniu za dowiązaniami symbolicznymi (symlink following). Jeśli zdalny atakujący uzyska konto użytkownika, może wykorzystać tę lukę do naruszenia bezpieczeństwa systemu. Podatność została naprawiona w wersji 2.9.2 i późniejszych.
- CVE-2026-47786Krytyczne
W HybridDesk Station wykryto podatność wstrzyknięcia poleceń systemu operacyjnego (OS command injection), która może pozwolić zdalnym atakującym na wykonanie dowolnych poleceń. Podatność została naprawiona w wersjach 4.2.23 i 4.3.4 oraz późniejszych.
- CVE-2026-34006Krytyczne
W sMedio DTCP MOVE wykryto podatność braku uwierzytelniania dla krytycznej funkcji, która może pozwolić zdalnym atakującym na uzyskanie dostępu do systemu. Podatność została naprawiona w wersji 1.4.5 i późniejszych.
- CVE-2026-19863Krytyczne
W EthereumAuthenticator nieuwierzytelniony klient może uzyskać dostęp do chronionych zasobów, jeśli ścieżka żądania zawiera skonfigurowaną ścieżkę logowania. Jest to spowodowane użyciem niezakończonego dopasowania podciągu przy identyfikacji strony logowania, co może prowadzić do zastąpienia wymagań uwierzytelniania lub ról wartością ALLOWED.
- CVE-2026-16438Krytyczne
W produktach Mitsubishi Electric (GENESIS64, ICONICS Suite, Hyper Historian, AnalytiX, MobileHMI, MC Works64) w wersjach 10.97.3 i wcześniejszych występuje podatność nieprawidłowego przypisania uprawnień. Instalatory przyznają domyślne uprawnienia DCOM kontu administratora, co pozwala atakującemu na lokalne lub zdalne uruchamianie i obsługę obiektów DCOM, które powinny wymagać podniesienia uprawnień UAC.
- CVE-2026-16436Krytyczne
W produktach Mitsubishi Electric (GENESIS, GENESIS64, ICONICS Suite, Hyper Historian, AnalytiX, MobileHMI, IoTWorX, MC Works64, GENESIS32, BizViz) występuje słaby mechanizm odzyskiwania hasła. Challenge response używany do odblokowania systemu jest wspólny dla wszystkich użytkowników i stały, co pozwala zdalnemu atakującemu na odblokowanie systemu po jego uzyskaniu.
- CVE-2026-102469Krytyczne
Klient Vert.x DB2 (vertx-db2-client) deserializuje dane kolumn typu UDT za pomocą wywołania ObjectInputStream.readObject() bez filtra klas. Złośliwy lub pośredniczący serwer DRDA może wysłać odpowiedź z kolumną oznaczoną jako UDT (FDOCA LID 0x50), co prowadzi do deserializacji danych kontrolowanych przez atakującego. Ponieważ TLS jest domyślnie wyłączony, atak man-in-the-middle jest wykonalny.
Oryginalny opis (angielski, źródło NVD)
A use after free issue was addressed with improved memory management. This issue is fixed in iOS 18.3 and iPadOS 18.3, iPadOS 17.7.6, macOS Sequoia 15.3, macOS Sonoma 14.7.5, macOS Ventura 13.7.5, tvOS 18.3, visionOS 2.3, watchOS 11.3. A malicious application may be able to elevate privileges. Apple is aware of a report that this issue may have been actively exploited against versions of iOS before iOS 17.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS