Kennisbank
Insights
Alerts!
Kwetsbaarheden verholpen in Apple iOS en iPadOS
Apple heeft kwetsbaarheden verholpen in iOS en iPadOS. De kwetsbaarheden betreffen diverse beveiligingsproblemen zoals onvoldoende validatie van symbolische links, onjuiste permissiecontroles, out-of-bounds lees- en schrijffouten, use-after-free fouten, integer overflows, race conditions, type confusion, en logische fouten in state management. Deze kunnen leiden tot ongeautoriseerde toegang tot gevoelige gebruikersdata, geheugenbeschadiging, onverwachte systeem- of applicatiecrashes, privilege escalatie, sandbox escapes, en denial-of-service condities. Aanvallers kunnen deze kwetsbaarheden misbruiken door speciaal vervaardigde bestanden, netwerkverkeer, of webcontent aan te bieden, of door lokale toegang te hebben tot het apparaat. De kwetsbaarheden zijn aanwezig in verschillende versies van de genoemde Apple besturingssystemen en beïnvloeden onder andere de verwerking van afbeeldingen, video’s, audio, fonts, PDF-bestanden, webcontent, en systeemcomponenten zoals de Keychain, Bluetooth, en Thread-netwerk. Er zijn geen specifieke proof-of-concept details vermeld, maar de beschrijvingen geven aan dat misbruik mogelijk is via diverse aanvalsvectoren.
Kwetsbaarheden verholpen in Apple MacOS
Apple heeft meerdere kwetsbaarheden verholpen in macOS, met name in de versies Golden Gate 27.2, Sequoia 15.8.2, Tahoe 26.7.2 en Monterey 12.4. De kwetsbaarheden betroffen diverse beveiligingsaspecten binnen macOS, waaronder onvoldoende validatie van symbolische links (symlinks), onjuiste permissiecontroles, onvolledige autorisatiemechanismen, en fouten in geheugenbeheer zoals out-of-bounds reads en writes, use-after-free, buffer overflows, en race conditions. Deze fouten konden door lokale of remote aanvallers worden misbruikt om privileges te escaleren, sandbox-beperkingen te omzeilen, gevoelige gebruikersdata of kernelgeheugen te benaderen, of om denial-of-service condities te veroorzaken door onverwachte systeem- of applicatiecrashes. Daarnaast werden problemen opgelost in Gatekeeper, de beveiligingscomponent die code-integriteit en app-verificatie afdwingt, waarbij bypasses werden voorkomen. Ook werden kwetsbaarheden in de verwerking van diverse bestandstypen zoals afbeeldingen, video’s, audio, fonts, PDF’s en ZIP-archieven aangepakt om geheugenbeschadiging en ongeautoriseerde code-uitvoering te voorkomen. De fixes omvatten verbeterde validatie van invoer, strengere toegangscontroles, verbeterde geheugenbeheer en state management, en het versterken van sandbox- en privacymechanismen. De updates zijn ook doorgevoerd in andere Apple-platforms zoals tvOS, visionOS en watchOS, waarbij consistentie in beveiligingsverbeteringen werd nagestreefd.
Kwetsbaarheden verholpen in HPE Networking AOS
HPE heeft 72 kwetsbaarheden verholpen in HPE Networking AOS-8 en AOS-10, waaronder Mobility Conductors, Mobility Controllers, Mobility Gateways en Access Points. De kwetsbaarheden betreffen verschillende beveiligingsproblemen, waaronder authenticatieomzeiling, command- en SQL-injectie, buffer-overflows en onvoldoende toegangscontrole. Van de in totaal 72 kwetsbaarheden zijn 33 als kritiek aangemerkt. Hiervan kunnen 19 volgens HPE Networking zonder authenticatie op afstand via het netwerk worden misbruikt. Voor de overige 14 kritieke kwetsbaarheden is volgens HPE Networking eveneens geen authenticatie vereist, maar moet de aanvaller toegang hebben tot een aangrenzend netwerk. Succesvol misbruik kan onder meer leiden tot het uitvoeren van willekeurige code, het verkrijgen van administratieve toegang, het wijzigen van configuraties, het uitlezen van gevoelige informatie en Denial-of-Service. Van de 33 kritieke kwetsbaarheden hebben acht een CVSS-score van 10.0. De kwetsbaarheden met kenmerk CVE-2026-79844, CVE-2026-79845, CVE-2026-79846, CVE-2026-79847, CVE-2026-79848, CVE-2026-79849, CVE-2026-79850 en CVE-2026-79851 kunnen zonder authenticatie en gebruikersinteractie op afstand worden misbruikt. Zeven hiervan kunnen leiden tot het uitvoeren van willekeurige code. CVE-2026-79845 kan leiden tot het verkrijgen van administratieve toegang en het wijzigen of uitlezen van gevoelige gegevens. Voor sommige kwetsbaarheden gelden aanvullende voorwaarden. Hoewel CVE-2026-79844 en CVE-2026-79846 een CVSS-score van 10.0 hebben, vermeldt HPE dat misbruik afhankelijk kan zijn van voorwaarden buiten de controle van de aanvaller. De kwetsbaarheden met kenmerk CVE-2026-79857 en CVE-2026-79860 in het PAPI-protocol van AOS-8, kunnen zonder authenticatie op afstand worden misbruikt door speciaal vervaardigde UDP-pakketten te versturen. Succesvol misbruik kan leiden tot het uitvoeren van willekeurige code met verhoogde rechten en mogelijk volledige compromittering van het systeem. HPE Networking meldt niet op de hoogte te zijn van publieke exploitcode en zijn geen bevestigde gevallen van actief misbruik bekend. Het NCSC adviseert om de beveiligingsupdates voor de kritieke kwetsbaarheden met voorrang toe te passen.
Kwetsbaarheid in Google Brotli-decoder
Google heeft een kwetsbaarheid verholpen in de Brotli-decompressiebibliotheek. Deze bibliotheek wordt onder meer gebruikt in Node.js. Een ongeauthenticeerde kwaadwillende kan de kwetsbaarheid op afstand misbruiken door speciaal vervaardigde Brotli-gecomprimeerde gegevens te laten verwerken. Succesvol misbruik kan leiden tot een denial-of-service, toegang tot gevoelige gegevens uit het procesgeheugen of het uitvoeren van willekeurige code met de rechten van het getroffen proces.
Kwetsbaarheden verholpen in FreeBSD bhyve hypervisor
De FreeBSD community heeft meerdere kwetsbaarheden verholpen in bhyve Hypervisor De kwetsbaarheden betreffen race conditions, onjuiste validatie en synchronisatieproblemen in verschillende device modellen binnen de bhyve hypervisor. Een kwaadwillende gast-virtuele machine kan deze fouten misbruiken om een denial of service te veroorzaken door het bhyve proces te laten crashen of om arbitraire code uit te voeren in de host userspace. Dit kan plaatsvinden via manipulatie van event ring size en Transfer Request Block (TRB) velden in de USB 3 device model, het triggeren van out-of-bounds geheugen toegang door onjuiste controle van zero-length Buffer Descriptor List entries in de HDA audio device model, en door het misbruiken van duplicaten, unsynchronized constanten en ontbrekende validatie van resolutieparameters in de framebuffer device model. Deze kwetsbaarheden zijn specifiek voor systemen die de bhyve hypervisor gebruiken.
