CVE-2026-55844
Apple · Apple
פורסם:
תקציר מנהלים
CVE-2026-55844 באפליקציית Home Assistant ל-iOS בגרסאות שלפני 2025.5.0 מאפשרת שימוש בכתובת URL פנימית תוך התעלמות מ-SSID allowlist בתרחיש fallback, ועלולה לחשוף token ברשת לא מאובטחת ולאפשר גישה לא מורשית למערכות האוטומציה. מומלץ לעדכן לגרסה 2025.5.0 ומעלה ולבטל ולהחליף tokens אם קיים חשד לחשיפה; לא ידוע על ניצול החולשה בפועל.
תיאור טכני (מקור)
Home Assistant is open source home automation software that puts local control and privacy first. Prior to 2025.5.0, The iOS companion app ignores the SSID allowlist for internal networks. The app uses SSID to detect when to use the internal URL, but whenever the app cannot find any other URL to be used, it fallbacks to the internal URL as well, which can expose user's token when connected to a not secure network. This vulnerability is fixed in 2025.5.0.
מקורות והנחיות
חולשות נוספות של Apple
Apple · Apple
חולשת CVE-2026-115392 ב-Wasmtime מאפשרת עקיפת בידוד מערכת הקבצים דרך wasmtime-wasi עקב טיפול שגוי ב-symlinks ב-macOS ובמערכות Linux ללא openat2, ועלולה לאפשר לקוד אורח לקרוא ולשנות קבצים מחוץ ל-sandbox בהתאם להרשאות תהליך המארח, תוך סיכון לדלף מידע ולפגיעה בשלמות הנתונים. לא ידוע על ניצול בפועל; מומלץ לעדכן לגרסה המתוקנת המתאימה לענף — 24.0.13, 36.0.14, 46.0.3 או 47.0.4 — ולצמצם הרשאות גישה לקבצים של תהליך המארח, שכן הגדרת האורח לקריאה בלבד אינה מונעת בהכרח חשיפה.
Apple · ipados
חולשת Use-After-Free מסוג CVE-2026-43668 ב-iPadOS ובמערכות נוספות של Apple, בדירוג CVSS 7.5, עלולה לאפשר לתוקף מרוחק לגרום להשבתה בלתי צפויה של המערכת או להשחתת זיכרון Kernel, ולפגוע בזמינות המכשירים וברציפות העסקית; לא ידוע על ניצול בפועל. מומלץ לתעדף עדכון מכשירי iPad ל-iPadOS 18.7.9 או 26.5, בהתאם לענף הגרסה, ולעדכן מערכות Apple נוספות בארגון לגרסאות המתוקנות הרלוונטיות.
Apple · macos
חולשת CVE-2026-28923 ב-Apple macOS, בדירוג CVSS 8.8, נובעת מבעיה ברישום לוגים ועלולה לאפשר לאפליקציה זדונית לפרוץ את גבולות ה-sandbox, תוך סיכון לגישה בלתי מורשית למידע ולמשאבים ארגוניים; לא ידוע על ניצול בפועל. מומלץ לתעדף עדכון לגרסאות macOS Sequoia 15.7.7, macOS Sonoma 14.8.7 או macOS Tahoe 26.5, בהתאם למערכת המותקנת, הכוללות שיפור בהשחרת נתונים בלוגים.
Apple · ipados
חולשת CVE-2026-28873 ב-Apple iOS ו-iPadOS, בדירוג CVSS 7.5, עלולה לאפשר לאפליקציה לעקוף את התיעוד ב-App Privacy Report ולפגוע בנראות פעילותה ובבקרת הפרטיות הארגונית; לא ידוע על ניצול בפועל. מומלץ לעדכן מכשירים ארגוניים לגרסאות iOS ו-iPadOS 18.7.9 או 26.4, בהתאם לענף הגרסה, הכוללות בדיקות entitlement נוספות.