CVE-2023-42917
Apple Multiple Products WebKit Memory Corruption Vulnerability
Beschreibung
CVE-2023-42917 ist eine kritische Speicherkorrektionsschwachstelle (Memory Corruption) in der WebKit-Engine von Apple, die Safari, iOS, iPadOS und macOS Sonoma betrifft. Durch die Verarbeitung manipulierter Webinhalte konnte ein Angreifer beliebigen Code auf dem Zielsystem ausführen. Apple hat bestätigt, dass diese Schwachstelle aktiv gegen iOS-Versionen vor 16.7.1 ausgenutzt wurde, was CVE-2023-42917 besonders gefährlich macht. Die Schwachstelle wurde durch verbesserte Speichersperrmechanismen (Locking) behoben und ist in iOS 17.1.2, iPadOS 17.1.2, macOS Sonoma 14.1.2 sowie Safari 17.1.2 gepatcht.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| apple | safari | < 17.1.2 |
| apple | ipados | < 15.8.1; >= 16.0, < 16.7.3; >= 17.0, < 17.1.2 |
| apple | iphone os | < 15.8.1; >= 16.0, < 16.7.3; >= 17.0, < 17.1.2 |
| apple | macos | >= 14.0, < 14.1.2 |
| debian | debian linux | 11.0; 12.0 |
| fedoraproject | fedora | 38; 39 |
| webkitgtk | webkitgtk\+ | < 2.42.3 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://seclists.org/fulldisclosure/2023/Dec/12(Mailing List, Third Party Advisory)
- http://seclists.org/fulldisclosure/2023/Dec/13(Mailing List, Third Party Advisory)
- http://seclists.org/fulldisclosure/2023/Dec/3(Mailing List, Third Party Advisory)
- http://seclists.org/fulldisclosure/2023/Dec/4(Mailing List, Third Party Advisory)
- http://seclists.org/fulldisclosure/2023/Dec/5(Mailing List, Third Party Advisory)
- http://seclists.org/fulldisclosure/2023/Dec/8(Mailing List, Third Party Advisory)
- http://seclists.org/fulldisclosure/2024/Jan/35(Mailing List, Third Party Advisory)
- http://www.openwall.com/lists/oss-security/2023/12/05/1(Mailing List, Third Party Advisory)
- https://lists.fedoraproject.org/archives/list/[email protected]/message/AD2KIHHCUBQC2YYH3FJWAHI5BG3QETOH/(Mailing List)
- https://lists.fedoraproject.org/archives/list/[email protected]/message/P5LQS6VEI7VIZNC7QGQ62EOV45R5RJIR/(Mailing List)
- https://security.gentoo.org/glsa/202401-04(Third Party Advisory)
- https://support.apple.com/en-us/HT214031(Vendor Advisory)
- https://support.apple.com/en-us/HT214032(Vendor Advisory)
- https://support.apple.com/en-us/HT214033(Vendor Advisory)
- https://support.apple.com/kb/HT214033(Vendor Advisory)
- https://support.apple.com/kb/HT214034(Vendor Advisory)
- https://support.apple.com/kb/HT214062(Vendor Advisory)
- https://www.debian.org/security/2023/dsa-5575(Mailing List, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-42917(US Government Resource)
Schwachstellentyp
CWE-787: Out-of-Bounds Write
CWE-787 beschreibt das Schreiben von Daten außerhalb der vorgesehenen Speichergrenzen eines Puffers. Bei CVE-2023-42917 führte ein fehlerhafter Speichersperrmechanismus in WebKit dazu, dass beim Verarbeiten von Webinhalten Speicherbereiche außerhalb vorgesehener Grenzen korrumpiert werden konnten, was die Ausführung beliebigen Codes ermöglichte.
Mehr erfahren: CWE-787 — Out-of-Bounds Write
Auswirkungsanalyse
CVE-2023-42917 ist über das Netzwerk aus der Ferne ausnutzbar, erfordert jedoch eine Benutzerinteraktion in Form des Besuchs einer präparierten Webseite. Mit einem CVSS-Score von 8.8 (HIGH) und vollständigen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit ist das Schadpotenzial erheblich: Ein erfolgreicher Angriff ermöglicht die vollständige Kompromittierung des betroffenen Geräts, einschließlich Zugriff auf sensible Daten und dauerhafter Systemkontrolle. Da Apple aktive Ausnutzung gegen iOS-Versionen vor 16.7.1 bestätigt hat und die Schwachstelle im KEV-Katalog der CISA gelistet ist, besteht dringender Handlungsbedarf. Betroffen sind nicht nur Apple-Geräte, sondern auch WebKitGTK-basierte Browser unter Linux sowie Debian und Fedora.
Exploit-Reifegrad
CVE-2023-42917 wurde aktiv als Zero-Day-Exploit eingesetzt, wie Apple offiziell bestätigte – die Ausnutzung erfolgte gegen iOS-Versionen vor 16.7.1, noch bevor ein Patch verfügbar war. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen (Behebungsfrist: 25. Dezember 2023), was die aktive Ausnutzung im freien Feld bestätigt. Der EPSS-Score von 0,068 % wirkt auf den ersten Blick niedrig, spiegelt jedoch nicht die tatsächliche Bedrohungslage wider – da Apple die aktive Ausnutzung explizit bestätigt hat, ist von gezielten, möglicherweise staatlich geförderten Angriffen auszugehen. CVE-2023-42917 wurde häufig zusammen mit CVE-2023-42916 (Out-of-Bounds Read) als kombinierte Angriffskette eingesetzt, bei der zunächst Speicheradressen ausgelesen und dann für die Memory Corruption genutzt wurden.
Behebung
- iOS und iPadOS: Update auf Version 17.1.2 oder neuer über Einstellungen → Allgemein → Softwareaktualisierung
- macOS Sonoma: Update auf Version 14.1.2 über das Apple-Menü → Systemeinstellungen → Allgemein → Softwareaktualisierung
- Safari: Update auf Version 17.1.2 (wird mit macOS-Updates ausgeliefert)
- WebKitGTK: Pakete gemäß Debian Security Advisory DSA-5575 oder Fedora-Sicherheitshinweisen aktualisieren
- Sofortmaßnahme: Falls ein Update nicht sofort möglich ist, Nutzung unbekannter oder nicht vertrauenswürdiger Webseiten vermeiden
- Verifizierung: Nach dem Update sicherstellen, dass die installierte iOS/macOS/Safari-Version den gepatchten Versionen entspricht
Technische Details
CVE-2023-42917 ist eine Memory Corruption-Schwachstelle (CWE-787: Out-of-Bounds Write) in der WebKit-Rendering-Engine. Der Fehler lag in einem unzureichenden Speichersperrmechanismus beim Verarbeiten von Webinhalten. Der CVSS 3.1-Vektor lautet AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H, was auf netzwerkbasierte Ausnutzbarkeit mit geringer Komplexität, ohne erforderliche Privilegien, aber mit notwendiger Benutzerinteraktion hinweist. Der Umfang (Scope) ist auf die verwundbare Komponente beschränkt (UNCHANGED), dennoch sind alle drei Schutzziele vollständig kompromittiert. Apple hat die Schwachstelle durch verbesserte Locking-Mechanismen im Speichermanagement behoben. Bemerkenswert ist, dass CVE-2023-42917 zusammen mit CVE-2023-42916 (Out-of-Bounds Read) aufgetreten ist und beide gemeinsam als Zero-Day-Angriffskette gegen iOS-Geräte eingesetzt wurden.
Häufig gestellte Fragen
Wird CVE-2023-42917 aktiv ausgenutzt?
Ja. Apple hat offiziell bestätigt, dass CVE-2023-42917 aktiv gegen iOS-Versionen vor 16.7.1 eingesetzt wurde. Die Schwachstelle ist im KEV-Katalog der CISA gelistet, mit einer Behebungsfrist bis zum 25. Dezember 2023. Es handelt sich um einen Zero-Day-Exploit, der vor der Bereitstellung des Patches ausgenutzt wurde.
Welche Produkte sind von CVE-2023-42917 betroffen?
Betroffen sind: Apple Safari (vor 17.1.2), Apple iOS und iPadOS (vor 17.1.2), Apple macOS Sonoma (vor 14.1.2), WebKitGTK+ unter Linux sowie Debian Linux und Fedora mit WebKit-Paketen. Grundsätzlich sind alle Produkte gefährdet, die die WebKit-Rendering-Engine einsetzen.
Wie behebe ich CVE-2023-42917?
Die Behebung erfolgt durch die Installation der jeweiligen Sicherheitsupdates: iOS/iPadOS 17.1.2, macOS Sonoma 14.1.2 und Safari 17.1.2. Unter Linux sollten WebKitGTK-Pakete über den Paketmanager aktualisiert werden (Debian: DSA-5575, Fedora: entsprechende Sicherheits-Advisories). Apple stellt die Updates kostenlos über den normalen Update-Mechanismus bereit.
Wie schwerwiegend ist CVE-2023-42917?
CVE-2023-42917 ist mit einem CVSS-Score von 8.8 (HIGH) eingestuft und wird durch aktive Ausnutzung als Zero-Day sowie die KEV-Listung als besonders kritisch eingeschätzt. Die Schwachstelle ermöglicht Remote Code Execution (RCE) mit vollständigem Zugriff auf Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen Systems allein durch das Besuchen einer manipulierten Webseite.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.