Katalog podatności CVE

Problem został rozwiązany poprzez ulepszone zarządzanie stanem. Podatność występuje w macOS Golden Gate 27. Aplikacja może uzyskać dostęp do wrażliwych danych użytkownika.

Problem został rozwiązany poprzez ulepszone zarządzanie pamięcią. Podatność występuje w iOS 26.6.1 i iPadOS 26.6.1, macOS Sequoia 15.8, macOS Tahoe 26.6.2, tvOS 27, visionOS 27 oraz watchOS 27. Aplikacja może spowodować nieoczekiwane zakończenie systemu lub uszkodzenie pamięci jądra.

Przepełnienie bufora zostało naprawione poprzez ulepszone sprawdzanie granic. Problem występuje w macOS Golden Gate 27, macOS Sequoia 15.8 oraz macOS Tahoe 26.7. Zamontowanie złośliwego obrazu dysku może spowodować nieoczekiwane zakończenie systemu.

Podatność typu use-after-free została naprawiona poprzez ulepszone zarządzanie pamięcią. Problem występuje w macOS Sequoia 15.7.8, macOS Sonoma 14.8.8 oraz macOS Tahoe 26.6. Aplikacja może spowodować nieoczekiwane zakończenie systemu.

W systemach macOS wykryto lukę logiczną, która pozwala aplikacji obejść mechanizm ochronny Gatekeeper. Problem naprawiono poprzez ulepszone kontrole w wersjach macOS Golden Gate 27, macOS Sequoia 15.8, macOS Tahoe 26.6 i 26.7.

W systemie macOS Sonoma występuje problem z poprawnością działania, który pozwala atakującemu mającemu fizyczny dostęp do urządzenia po jego wyczyszczeniu po cichu utrzymać konto Apple. Lukę naprawiono w wersji macOS Sonoma 14.8.8.

W systemach Apple występuje problem z uwierzytelnianiem, który pozwala aplikacji wykorzystać proces logowania Sign In With Apple do uzyskania dostępu do konta Apple użytkownika. Lukę naprawiono poprzez lepsze zarządzanie stanem w iOS 27, iPadOS 27, macOS Golden Gate 27, macOS Sequoia 15.8, macOS Tahoe 26.7 oraz visionOS 27.

IBM Sterling File Gateway w wersjach 6.2.0.0 do 6.2.0.6_1, 6.2.1.0 do 6.2.1.2 oraz 6.2.2.0 do 6.2.2.1 może pozwolić zdalnemu atakującemu na uzyskanie poufnych informacji z powodu nieprawidłowej kontroli dostępu.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić na denial of service w wyniku przepełnienia bufora w procesie PASE. Uwierzytelniony atakujący może wykorzystać to do zakończenia własnego procesu.

IBM Sterling B2B Integrator i IBM Sterling File Gateway w określonych wersjach mogą pozwolić zdalnemu uwierzytelnionemu atakującemu na obejście zabezpieczeń z powodu nieprawidłowego uwierzytelnienia.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 zawiera przepełnienie bufora w procesie PASE, które może prowadzić do odmowy usługi. Uwierzytelniony atakujący może wykorzystać tę lukę do zakończenia własnego procesu.

IBM i w wersjach 7.6, 7.5, 7.4 i 7.3 może pozwolić lokalnemu atakującemu na uzyskanie własności dowolnych obiektów systemu plików z powodu podatności TOCTOU (time-of-check to time-of-use).

IBM i Access Family w wersjach 1.1.2.0 do 1.1.9.15 pozwala uwierzytelnionemu użytkownikowi na wykonanie dowolnych poleceń z uprawnieniami zwykłego użytkownika. Przyczyną jest niewłaściwa walidacja danych wejściowych dostarczanych przez użytkownika w pliku sesji.

IBM i Access Client Solutions (część IBM i Access Family) w wersjach 1.1.2.0 do 1.1.9.15 pozwala uwierzytelnionemu użytkownikowi na wykonanie dowolnych poleceń z uprawnieniami zwykłego użytkownika. Przyczyną jest niewłaściwa walidacja danych wejściowych w złośliwej akcji RunProgram makra emulatora.

IBM i Access Client Solutions (część IBM i Access Family) w wersjach 1.1.2.0 do 1.1.9.15 pozwala uwierzytelnionemu użytkownikowi na wykonanie dowolnych poleceń z uprawnieniami zwykłego użytkownika. Przyczyną jest niewłaściwa walidacja danych wejściowych w poleceniu CL STRPCCMD.

IBM MQ w wersjach LTS i CD do 10.0.0.0 umożliwia zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnego kodu na systemie z powodu deserializacji niezaufanych danych.

IBM MQ w wersjach LTS i CD do 10.0.0.0 jest podatny na atak XML External Entity (XXE) podczas przetwarzania danych XML, co może ujawnić wrażliwe informacje lub zużyć zasoby pamięci.

IBM MQ jest podatny na atak XML External Entity (XXE) podczas przetwarzania danych XML. Zdalny atakujący może wykorzystać tę podatność do ujawnienia wrażliwych informacji lub zużycia zasobów pamięci.

IBM Verify Identity Access pozwala zdalnemu atakującemu przeprowadzać ataki phishingowe z wykorzystaniem otwartego przekierowania. Poprzez nakłonienie ofiary do odwiedzenia specjalnie spreparowanej strony atakujący może podszyć się pod wyświetlany adres URL i przekierować użytkownika na złośliwą stronę wyglądającą na zaufaną.

Wpis dotyczy wersji produktów IBM Verify Identity Access 11.0.0–11.0.3 Interim Fix 001, IBM Security Verify Access 10.0.0–10.0.9.2 Interim Fix 001 oraz odpowiadających im wersji kontenerowych. Opis nie zawiera szczegółów technicznych podatności.