CVE-2025-43429
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 71 - wyżej niż 71% wszystkich znanych CVE
Streszczenie
Przepełnienie bufora zostało naprawione poprzez poprawę sprawdzania zakresów. Problem dotyczy przetwarzania złośliwie spreparowanej treści internetowej, co może prowadzić do nieoczekiwanego zawieszenia procesu. Podatność została naprawiona w Safari 26.1, iOS 18.7.2 i iPadOS 18.7.2, iOS 26.1 i iPadOS 26.1, macOS Tahoe 26.1, tvOS 26.1, visionOS 26.1, watchOS 26.1.
Ocena ryzyka
Użytkownik odwiedzający złośliwą stronę może spowodować zawieszenie procesu, co może prowadzić do ataku typu denial of service. Ryzyko dotyczy wszystkich użytkowników niezaaktualizowanych urządzeń Apple.
Rekomendacja
Zaktualizuj systemy Apple do najnowszych wersji: Safari 26.1, iOS 18.7.2/iPadOS 18.7.2, iOS 26.1/iPadOS 26.1, macOS Tahoe 26.1, tvOS 26.1, visionOS 26.1, watchOS 26.1.
Inne podatności w Apple Safari
Zobacz wszystkie- CVE-2015-5780Wysokie
Implementacja rozszerzeń w przeglądarce Apple Safari przed wersją 9 nie wymaga potwierdzenia użytkownika przed zastąpieniem zainstalowanego rozszerzenia, co może prowadzić do nieokreślonych skutków i wektorów ataku.
- CVE-2014-1303Wysokie
W Apple Safari 7.0.2 występuje przepełnienie bufora w stercie, które umożliwia zdalnym atakującym wykonanie dowolnego kodu oraz ominięcie mechanizmu ochrony piaskownicy.
- CVE-2014-1300Wysokie
Nieokreślona podatność w Apple Safari 7.0.2 na systemie OS X umożliwia zdalnym atakującym wykonanie dowolnego kodu z uprawnieniami roota poprzez nieznane wektory.
- CVE-2022-42856WysokieAktywnie exploitowane
Podatność typu type confusion w przeglądarce Safari i systemach iOS, iPadOS, macOS, tvOS. Przetwarzanie złośliwie spreparowanej treści internetowej może prowadzić do wykonania dowolnego kodu. Apple wie o doniesieniach o aktywnej eksploatacji tej luki.
- CVE-2019-8506WysokieAktywnie exploitowane
Podatność typu type confusion została naprawiona poprzez lepsze zarządzanie pamięcią. Problem występuje w iOS 12.2, tvOS 12.2, watchOS 5.2, Safari 12.1, iTunes 12.9.4 dla Windows i iCloud dla Windows 7.11. Przetwarzanie złośliwie spreparowanej treści internetowej może prowadzić do wykonania dowolnego kodu.
- CVE-2026-65391Wysokie
Podatność typu zapis poza zakresem (out-of-bounds write) w Safari i systemach Apple. Przetwarzanie złośliwie przygotowanych treści internetowych może prowadzić do uszkodzenia pamięci.
- CVE-2026-65390Wysokie
Podatność typu przepełnienie liczby całkowitej (integer overflow) w Safari i systemach Apple. Przetwarzanie złośliwie przygotowanych treści internetowych może prowadzić do uszkodzenia pamięci.
- CVE-2026-43670Wysokie
Podatność na obejście polityki bezpieczeństwa treści (CSP) w kontekście AudioWorklet została naprawiona w przeglądarce Safari i systemach Apple. Przetwarzanie złośliwie spreparowanych treści internetowych może obejść CSP.
- CVE-2026-65341Średnie
Podatność związana z obsługą pamięci w komponencie przetwarzającym treści webowe, naprawiona poprzez poprawę zarządzania pamięcią. Problem występuje w Safari, iOS, iPadOS, macOS Tahoe, tvOS, visionOS oraz watchOS. Przetworzenie złośliwie spreparowanej treści webowej może doprowadzić do uszkodzenia pamięci.
- CVE-2026-64787Średnie
Podatność typu use-after-free w komponencie przetwarzającym treści webowe, naprawiona poprzez poprawę zarządzania pamięcią. Problem występuje w Safari, iOS, iPadOS, macOS Tahoe, tvOS, visionOS oraz watchOS. Przetworzenie złośliwie spreparowanej treści webowej może doprowadzić do nieoczekiwanego zakończenia procesu.
Oryginalny opis (angielski, źródło NVD)
A buffer overflow was addressed with improved bounds checking. This issue is fixed in Safari 26.1, iOS 18.7.2 and iPadOS 18.7.2, iOS 26.1 and iPadOS 26.1, macOS Tahoe 26.1, tvOS 26.1, visionOS 26.1, watchOS 26.1. Processing maliciously crafted web content may lead to an unexpected process crash.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS