CVE-2026-115392
Apple · Apple
פורסם:
תקציר מנהלים
חולשת CVE-2026-115392 ב-Wasmtime מאפשרת עקיפת בידוד מערכת הקבצים דרך wasmtime-wasi עקב טיפול שגוי ב-symlinks ב-macOS ובמערכות Linux ללא openat2, ועלולה לאפשר לקוד אורח לקרוא ולשנות קבצים מחוץ ל-sandbox בהתאם להרשאות תהליך המארח, תוך סיכון לדלף מידע ולפגיעה בשלמות הנתונים. לא ידוע על ניצול בפועל; מומלץ לעדכן לגרסה המתוקנת המתאימה לענף — 24.0.13, 36.0.14, 46.0.3 או 47.0.4 — ולצמצם הרשאות גישה לקבצים של תהליך המארח, שכן הגדרת האורח לקריאה בלבד אינה מונעת בהכרח חשיפה.
תיאור טכני (מקור)
Wasmtime before 24.0.13, 25.0.0 before 36.0.14, 37.0.0 before 46.0.3, and 47.0.0 before 47.0.4 allows a filesystem sandbox escape in wasmtime-wasi because its cap-std dependency mishandles symlinks with trailing slashes on macOS and Linux kernels lacking openat2. A guest with write access to any sandboxed directory can read and write any host-accessible file, and read-only guests may read host files via preexisting symlinks.
מקורות והנחיות
חולשות נוספות של Apple
Apple · Apple
CVE-2026-55844 באפליקציית Home Assistant ל-iOS בגרסאות שלפני 2025.5.0 מאפשרת שימוש בכתובת URL פנימית תוך התעלמות מ-SSID allowlist בתרחיש fallback, ועלולה לחשוף token ברשת לא מאובטחת ולאפשר גישה לא מורשית למערכות האוטומציה. מומלץ לעדכן לגרסה 2025.5.0 ומעלה ולבטל ולהחליף tokens אם קיים חשד לחשיפה; לא ידוע על ניצול החולשה בפועל.
Apple · ipados
חולשת Use-After-Free מסוג CVE-2026-43668 ב-iPadOS ובמערכות נוספות של Apple, בדירוג CVSS 7.5, עלולה לאפשר לתוקף מרוחק לגרום להשבתה בלתי צפויה של המערכת או להשחתת זיכרון Kernel, ולפגוע בזמינות המכשירים וברציפות העסקית; לא ידוע על ניצול בפועל. מומלץ לתעדף עדכון מכשירי iPad ל-iPadOS 18.7.9 או 26.5, בהתאם לענף הגרסה, ולעדכן מערכות Apple נוספות בארגון לגרסאות המתוקנות הרלוונטיות.
Apple · macos
חולשת CVE-2026-28923 ב-Apple macOS, בדירוג CVSS 8.8, נובעת מבעיה ברישום לוגים ועלולה לאפשר לאפליקציה זדונית לפרוץ את גבולות ה-sandbox, תוך סיכון לגישה בלתי מורשית למידע ולמשאבים ארגוניים; לא ידוע על ניצול בפועל. מומלץ לתעדף עדכון לגרסאות macOS Sequoia 15.7.7, macOS Sonoma 14.8.7 או macOS Tahoe 26.5, בהתאם למערכת המותקנת, הכוללות שיפור בהשחרת נתונים בלוגים.
Apple · ipados
חולשת CVE-2026-28873 ב-Apple iOS ו-iPadOS, בדירוג CVSS 7.5, עלולה לאפשר לאפליקציה לעקוף את התיעוד ב-App Privacy Report ולפגוע בנראות פעילותה ובבקרת הפרטיות הארגונית; לא ידוע על ניצול בפועל. מומלץ לעדכן מכשירים ארגוניים לגרסאות iOS ו-iPadOS 18.7.9 או 26.4, בהתאם לענף הגרסה, הכוללות בדיקות entitlement נוספות.