CVE-2025-31277
Apple Multiple Products Buffer Overflow Vulnerability
Beschreibung
CVE-2025-31277 ist eine HIGH-Pufferüberlauf-Schwachstelle in Apple Safari, iOS, watchOS, visionOS, iPadOS, macOS und tvOS mit einem CVSS-3.1-Score von 8.8. Eine unsachgemäße Beschränkung von Operationen innerhalb von Speicherpuffergrenzen in WebKit ermöglicht es, dass die Verarbeitung bösartig gestalteter Webinhalte zu Speicherkorruption führt. Betroffene Versionen umfassen Safari < 18.6, iPadOS < 18.6, iOS < 18.6, macOS 15.x < 15.6, tvOS < 18.6, visionOS < 2.6 und watchOS < 11.6. Diese CVE wurde am 20.03.2026 in den KEV-Katalog der CISA aufgenommen, mit einer Behebungsfrist bis zum 03.04.2026. Mit einem EPSS-Score von 0,00267 (50,1. Perzentil) liegt diese Schwachstelle am Median der Ausnutzungswahrscheinlichkeit, birgt aber durch den netzwerkbasierten Angriffsvektor und die bestätigte aktive Ausnutzung ein erhöhtes Risiko. Es wurde keine Ransomware-Verbindung bestätigt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| apple | safari | < 18.6 |
| apple | ipados | < 18.6 |
| apple | iphone os | < 18.6 |
| apple | macos | >= 15.0, < 15.6 |
| apple | tvos | < 18.6 |
| apple | visionos | < 2.6 |
| apple | watchos | < 11.6 |
| webkitgtk | webkitgtk | < 2.50.0 |
| wpewebkit | wpe webkit | < 2.50.0 |
| redhat | enterprise linux | 6.0; 7.0; 8.0; 9.0 |
| redhat | enterprise linux aus | 8.2; 8.4; 8.6 |
| redhat | enterprise linux els | 7.0 |
| redhat | enterprise linux eus | 8.4; 8.6; 9.4 |
| redhat | enterprise linux tus | 8.6; 8.8 |
| redhat | enterprise linux update services for sap solutions | 8.6; 8.8; 9.0; 9.2 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- https://support.apple.com/en-us/124147(Release Notes, Vendor Advisory)
- https://support.apple.com/en-us/124149(Release Notes, Vendor Advisory)
- https://support.apple.com/en-us/124152(Release Notes, Vendor Advisory)
- https://support.apple.com/en-us/124153(Release Notes, Vendor Advisory)
- https://support.apple.com/en-us/124154(Release Notes, Vendor Advisory)
- https://support.apple.com/en-us/124155(Release Notes, Vendor Advisory)
- http://seclists.org/fulldisclosure/2025/Aug/0(Mailing List, Third Party Advisory)
- http://seclists.org/fulldisclosure/2025/Jul/30(Mailing List, Third Party Advisory)
- http://seclists.org/fulldisclosure/2025/Jul/32(Mailing List, Third Party Advisory)
- http://seclists.org/fulldisclosure/2025/Jul/36(Mailing List, Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2025:17643(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2025:17741(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2025:17743(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2025:17802(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2025:17807(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2025:18097(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2025:19109(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2025:19157(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2025:19165(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2025:19352(Third Party Advisory)
- https://access.redhat.com/security/cve/CVE-2025-31277(Third Party Advisory)
- https://bugzilla.redhat.com/show_bug.cgi?id=2448780(Third Party Advisory)
- https://cloud.google.com/blog/topics/threat-intelligence/darksword-ios-exploit-chain/(Technical Description)
- https://security.access.redhat.com/data/csaf/v2/vex/2025/cve-2025-31277.json(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-31277(US Government Resource)
Schwachstellentyp
CWE-119: Unsachgemäße Beschränkung von Operationen innerhalb von Speicherpuffergrenzen
CVE-2025-31277 wird unter CWE-119 — Improper Restriction of Operations within the Bounds of a Memory Buffer klassifiziert. Diese übergeordnete Schwächenklasse umfasst Pufferüberläufe, Out-of-bounds-Lesezugriffe und Out-of-bounds-Schreibzugriffe. Sie tritt auf, wenn Software Operationen auf einem Speicherpuffer durchführt, ohne sicherzustellen, dass Lese- oder Schreiboperationen innerhalb der vorgesehenen Grenzen bleiben.
Im Kontext von WebKit — Apples Browser-Engine, die Safari und alle iOS-Browser antreibt — ist diese Schwäche besonders kritisch. WebKit verarbeitet komplexe, nicht vertrauenswürdige Webinhalte einschließlich HTML, CSS, JavaScript und Multimedia-Formaten. Speicherpuffer-Fehler in WebKit können remote durch den bloßen Besuch einer bösartigen Webseite ausgelöst werden, was diese Schwachstellenklasse zu einer der am häufigsten ausgenutzten in der Browser-Sicherheitslandschaft macht. Die Kombination aus großer Angriffsfläche, komplexer Parsing-Logik und leistungskritischer Speicherverwaltung schafft persistente Möglichkeiten für Puffergrenzenverletzungen.
Auswirkungsanalyse
CVE-2025-31277 hat einen CVSS-3.1-Score von 8.8 (HIGH) mit unverändertem Scope.
Vertraulichkeit (HIGH): Erfolgreiche Ausnutzung durch bösartige Webinhalte ermöglicht dem Angreifer das Lesen sensibler Daten aus dem Browser-Prozessspeicher. Dies kann Authentifizierungs-Cookies, Session-Token, gespeicherte Passwörter, Browserverlauf und Daten aus anderen offenen Tabs umfassen.
Integrität (HIGH): Speicherkorruption in WebKit ermöglicht die Ausführung beliebigen Codes im Browser-Kontext. Dies kann genutzt werden, um Webseiteninhalte zu modifizieren, Formularübermittlungen abzufangen, Datenverkehr umzuleiten oder Malware zu installieren.
Verfügbarkeit (HIGH): Die Speicherkorruption kann den Browser oder das gesamte Gerät abstürzen lassen. WebKit-Schwachstellen können auch für persistenten Denial-of-Service durch wiederholte Abstürze beim Besuch angreiferkontrollierter Inhalte eingesetzt werden.
Scope unverändert: Der Scope ist Unchanged (S:U), was bedeutet, dass die Auswirkung zunächst auf den WebKit-Rendering-Prozess beschränkt ist. Browser-Speicherkorruptions-Schwachstellen werden jedoch häufig mit Sandbox-Escape-Exploits verkettet, um eine vollständige Gerätekompromittierung zu erreichen.
Der Netzwerk-Angriffsvektor (AV:N) erhöht das Risikoprofil im Vergleich zu lokalen Schwachstellen erheblich, da keine physische Zugriffsmöglichkeit erforderlich ist — nur der Besuch einer bösartigen oder kompromittierten Website.
Exploit-Reifegrad
CVE-2025-31277 wird aktiv in freier Wildbahn ausgenutzt, wie die Aufnahme in den KEV-Katalog der CISA am 20.03.2026 belegt.
Exploit-Status: Aktive Ausnutzung wurde bestätigt. WebKit-Schwachstellen mit netzwerkbasiertem Angriffsvektor sind Hauptziele sowohl für staatlich geförderte Akteure als auch für cyberkriminelle Gruppen. Die Fähigkeit, Ausnutzung über Webinhalte auszulösen, macht diese Schwachstelle besonders gefährlich für Watering-Hole-Angriffe und gezielte Phishing-Kampagnen.
EPSS-Bewertung: Der EPSS-Score von 0,00267 (50,1. Perzentil) platziert diese Schwachstelle am Median der Ausnutzungswahrscheinlichkeit. Die bestätigte KEV-Listung und der Netzwerk-Angriffsvektor zeigen jedoch, dass das reale Risiko deutlich höher ist als der statistische Score vermuten lässt. WebKit-Zero-Days gehören zu den wertvollsten und aktivsten gehandelten Schwachstellen.
Ransomware-Verbindung: Für CVE-2025-31277 wurde keine direkte Ransomware-Verbindung bestätigt. Browser-basierte Speicherkorruptions-Schwachstellen werden jedoch häufig als initiale Zugangsaektoren in anspruchsvollen Angriffsketten verwendet.
Angriffsfläche: Die Schwachstelle betrifft WebKit in Safari, iOS, iPadOS, macOS, tvOS, visionOS und watchOS. Auf iOS und iPadOS müssen alle Browser WebKit als Rendering-Engine verwenden — Chrome, Firefox und alle anderen iOS-Browser sind gleichermaßen betroffen.
KEV-Frist: Die CISA fordert die Behebung bis zum 03.04.2026. Angesichts des netzwerkbasierten Angriffsvektors sollten Organisationen diese CVE priorisiert beheben.
Behebung
- Apple-Sicherheitsupdates sofort installieren. Aktualisieren Sie alle betroffene Software auf die gepatchten Versionen: Safari 18.6, iOS 18.6, iPadOS 18.6, macOS Sequoia 15.6, tvOS 18.6, visionOS 2.6 und watchOS 11.6. Konsultieren Sie Apples offizielles Sicherheitsadvisory unter support.apple.com/en-us/100100.
- Alle Apple-Geräte und Browser inventarisieren. Identifizieren Sie alle Instanzen von Safari und WebKit-basierten Browsern in Ihrer Organisation. Auf iOS und iPadOS verwenden alle Browser WebKit — Chrome, Firefox, Edge und andere Browser auf Apple-Mobilgeräten sind gleichermaßen betroffen und erfordern das OS-Level-Update.
- Webinhaltsfilterung als Zwischenmaßnahme. Falls sofortiges Patching nicht möglich ist, setzen Sie Webinhaltsfilterung und URL-Reputationsdienste ein, um den Zugang zu bekannten bösartigen Domains zu blockieren. Erwägen Sie die Einschränkung der JavaScript-Ausführung auf nicht vertrauenswürdigen Seiten.
- Auf Ausnutzungsindikatoren überwachen. Überprüfen Sie Browser-Absturzprotokolle, Endpoint-Detection-Warnungen und Web-Proxy-Logs auf Anzeichen einer Ausnutzung. Achten Sie auf unerwartete WebKit-Prozessabstürze oder verdächtige JavaScript-Ausführungsmuster.
- Benutzer über Phishing und bösartige Webinhalte aufklären. Da die Ausnutzung den Besuch bösartiger Webinhalte erfordert, verstärken Sie das Sicherheitsbewusstsein bezüglich der Risiken unbekannter Links, insbesondere in E-Mail- und Messaging-Anwendungen.
Technische Details
CVE-2025-31277 ist eine HIGH-Pufferüberlauf-Schwachstelle in Apples WebKit-Browser-Engine, verursacht durch unsachgemäße Beschränkung von Operationen innerhalb von Speicherpuffergrenzen. Die Verarbeitung bösartig gestalteter Webinhalte kann zu Speicherkorruption mit potentieller beliebiger Codeausführung führen.
Technischer Mechanismus: Die Schwachstelle besteht in WebKits Speicherbehandlungsroutinen während der Verarbeitung von Webinhalten. Wenn WebKit HTML, CSS, JavaScript oder Multimedia-Inhalte parst und rendert, allokiert es Speicherpuffer für Zwischendatenstrukturen. Die unsachgemäße Beschränkung von Operationen innerhalb dieser Puffergrenzen bedeutet, dass speziell gestaltete Webinhalte Lese- oder Schreiboperationen auslösen können, die die allokierten Puffergrenzen überschreiten. Diese Speicherkorruption kann kritische Datenstrukturen überschreiben, einschließlich VTable-Pointer, Heap-Metadaten oder Stack-Rücksprungadressen.
CVSS-3.1-Vektor-Analyse (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H):
- Angriffsvektor (Netzwerk): Die Schwachstelle ist remote über netzwerkgelieferte Webinhalte ausnutzbar. Ein Angreifer muss lediglich bösartige Inhalte von einem Webserver bereitstellen oder in eine legitime Website einschleusen.
- Angriffskomplexität (Niedrig): Der Pufferüberlauf ist zuverlässig über gestaltete Webinhalte auslösbar ohne spezielle Netzwerkbedingungen oder opferspezifische Vorbereitung.
- Erforderliche Privilegien (Keine): Keine Authentifizierung oder besondere Berechtigungen erforderlich. Jeder anonyme Angreifer kann bösartige Webinhalte hosten.
- Benutzerinteraktion (Erforderlich): Das Opfer muss zu den Webinhalten des Angreifers navigieren, typischerweise durch Klicken eines Links in einer E-Mail, Nachricht oder auf sozialen Medien.
- Scope (Unverändert): Die Auswirkung ist zunächst auf den WebKit-Rendering-Prozess beschränkt. WebKit-Exploits werden jedoch häufig mit Sandbox-Escapes für vollständige Gerätekompromittierung verkettet.
- Auswirkung (C:H/I:H/A:H): Vollständige Kompromittierung von Vertraulichkeit, Integrität und Verfügbarkeit möglich.
WebKit-Angriffsflächen-Überlegungen: Auf Apple-Plattformen ist WebKit die obligatorische Rendering-Engine für alle Browser auf iOS und iPadOS. Das bedeutet, die Schwachstelle betrifft nicht nur Safari, sondern jeden installierten Browser auf diesen Plattformen. Das Rendering von Webinhalten in E-Mail-Clients, Social-Media-Apps und jeder Anwendung, die WKWebView verwendet, ist ebenfalls potenziell betroffen.
Häufig gestellte Fragen
Was ist CVE-2025-31277?
CVE-2025-31277 ist eine HIGH-Pufferüberlauf-Schwachstelle (CVSS 8.8) in Apples WebKit-Browser-Engine, die Safari, iOS, iPadOS, macOS, tvOS, visionOS und watchOS betrifft. Die Schwachstelle ermöglicht es, dass bösartig gestaltete Webinhalte Speicherkorruption auslösen und potenziell beliebige Codeausführung ermöglichen. Sie ist im KEV-Katalog der CISA gelistet, was aktive Ausnutzung bestätigt.
Welche Apple-Produkte sind von CVE-2025-31277 betroffen?
Betroffen sind Safari < 18.6, iOS < 18.6, iPadOS < 18.6, macOS Sequoia 15.x < 15.6, tvOS < 18.6, visionOS < 2.6 und watchOS < 11.6. Kritischerweise müssen auf iOS und iPadOS alle Browser WebKit als Rendering-Engine verwenden — Chrome, Firefox und alle anderen iOS-Browser sind gleichermaßen verwundbar und erfordern das OS-Level-Update.
Wie behebe ich CVE-2025-31277?
Aktualisieren Sie alle betroffenen Apple-Geräte und Software auf die gepatchten Versionen: Safari 18.6, iOS 18.6, iPadOS 18.6, macOS Sequoia 15.6, tvOS 18.6, visionOS 2.6 und watchOS 11.6. Auf iOS und iPadOS patcht das OS-Update WebKit für alle installierten Browser. Falls sofortiges Patching nicht möglich ist, implementieren Sie Webinhaltsfilterung zur Blockierung bekannter bösartiger Domains.
Warum ist CVE-2025-31277 gefährlicher als die anderen Apple-CVEs vom gleichen Datum?
CVE-2025-31277 hat den höchsten CVSS-Score (8.8) unter den drei CVEs, da sie einen Netzwerk-Angriffsvektor (AV:N) statt eines lokalen (AV:L) hat. Die Ausnutzung erfordert keinen physischen Zugang oder die Installation einer bösartigen Anwendung — ein Opfer muss lediglich eine bösartige Webseite besuchen. Die Kombination aus Remote-Ausnutzbarkeit, keinen erforderlichen Berechtigungen und vollständiger CIA-Auswirkung macht WebKit-Schwachstellen zu den gefährlichsten im Apple-Ökosystem.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.