Intel

CVE-2023-28204

Red Hat Security Advisory: webkitgtk4 security update

criticalKEV: aktiv ausgenutztPoCEPSS 14 %

Beschreibung

Ein Out-of-Bounds-Lesen wurde durch verbesserte Eingabeverifizierung behoben. Dieses Problem ist in watchOS 9.5, tvOS 16.5, macOS Ventura 13.4, iOS 15.7.6 und iPadOS 15.7.6 sowie Safari 16.5, iOS 16.5 und iPadOS 16.5 behoben. Die Verarbeitung von Webinhalten kann sensible Informationen offenlegen. Apple ist sich eines Berichts bewusst, wonach dieses Problem möglicherweise aktiv ausgenutzt wurde.

Quelle: REDHAT_CSAFCISA_KEVNVDCVEORGCVELISTV5

Behebung & Mitigation

Warum sofort handeln?

Priorisierung

CVE-2023-28204 ist ein Out-of-Bounds-Read in WebKit, der beim Verarbeiten präparierter Webinhalte sensible Speicherinhalte — darunter potenziell Tokens, Schlüsselmaterial oder Sitzungsdaten — an einen Angreifer offenlegen kann, ohne dass dieser Schreibrechte benötigt (CVSS-Vektor: AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N). Der EPSS-Wert von 14,29 % im 96,4. Perzentil signalisiert eine sehr hohe Ausnutzungswahrscheinlichkeit im Vergleich zur Gesamtheit bekannter CVEs — trotz des moderaten CVSS-Scores von 6,5. Für NIS2-pflichtige Organisationen mit hohem Apple-Geräteanteil (BYOD, Führungsebene, Außendienst) ist das Risiko besonders relevant, da ein einziger Klick auf eine präparierte URL zur Informationsoffenlegung führt. Da kein Ransomware-Einsatz durch CISA gemeldet ist, liegt die primäre Bedrohung in gezielter Spionage oder als Vorstufe zu einer Exploit-Kette — Patch-Priorität dennoch hoch, da Apple selbst aktive Ausnutzung bestätigt hat.

Runbook · Schritt 1

Sofort-Response (0-24 h)

  • iOS/iPadOS: Sofortiges Update auf iOS 16.5 bzw. iPadOS 16.5 (oder iOS 15.7.6 / iPadOS 15.7.6 für ältere Geräte) über Einstellungen → Allgemein → Softwareupdate erzwingen. Geräte ohne MDM-Erzwingung manuell prüfen.
  • macOS: Update auf macOS Ventura 13.4 einspielen. Systeme, die noch auf Monterey oder Ventura < 13.4 laufen, sind bis zum Patch als kompromittierbar einzustufen.
  • Safari: Auf allen macOS-Systemen Safari auf Version 16.5 aktualisieren — auch wenn macOS selbst noch nicht gepatcht werden kann, ist der Browser-Patch separat verfügbar.
  • tvOS / watchOS: Update auf tvOS 16.5 bzw. watchOS 9.5 ausrollen; diese Plattformen sind in Unternehmensumgebungen oft im MDM-Blindspot — Inventar prüfen.
  • MDM-Richtlinie: Über Apple Business Manager / Jamf / Intune eine Compliance-Richtlinie aktivieren, die Geräte unterhalb der Mindest-OS-Version in Quarantäne versetzt und den Zugriff auf Unternehmensressourcen (E-Mail, VPN, SharePoint) sperrt.
  • Browsing-Einschränkung (Überbrückung): Bis zur Patch-Bestätigung aller Endgeräte riskante Webzugriffe über einen Proxy mit TLS-Inspektion leiten und bekannte Exploit-Delivery-Domains blockieren.

Runbook · Schritt 2

Mitigation-Layer

  • Netzwerksegmentierung: BYOD- und nicht-verwaltete Apple-Geräte in ein isoliertes VLAN (z. B. „BYOD-Quarantäne") verschieben, das keinen direkten Zugriff auf interne Ressourcen hat, bis der Patch-Status bestätigt ist.
  • Web-Proxy / DNS-Filterung: Kategorien wie „Newly Registered Domains" und „Malicious/Phishing" im DNS-Resolver (z. B. Cisco Umbrella, Zscaler) sperren, um Drive-by-Exploit-Seiten zu blockieren, die WebKit-Schwachstellen ausnutzen.
  • WAF/IPS: Suricata-Regel auf anomale HTML-Antworten mit überlangen oder malformierten Attributwerten prüfen — kein offizieller Snort-SID für CVE-2023-28204 bekannt, daher generische „WebKit OOB Read"-Signaturen aus dem ET-Open-Ruleset aktivieren.
  • Least Privilege / Sandbox: Sicherstellen, dass Safari und WebKit-basierte Apps in der macOS-App-Sandbox laufen. Nicht-sandboxed WebKit-Einbettungen in Drittanbieter-Apps (z. B. Electron-Apps mit veralteter WebKit-Version) identifizieren und aktualisieren.
  • Privileged-Access-Workstations: Administratoren und privilegierte Nutzer dürfen auf PAWs keinen allgemeinen Webbrowser verwenden — Richtlinie prüfen und technisch durchsetzen.
  • Patch-Ausnahme-Tracking: Geräte, die aus technischen Gründen nicht sofort gepatcht werden können (z. B. ältere iPads ohne iOS 16-Support), im ITSM als Risikoausnahme erfassen und mit erhöhtem Monitoring versehen.

Runbook · Schritt 3

Detection-Regeln

  • MDM-Compliance-Alert: Jamf/Intune-Abfrage auf Geräte mit os_version < 16.5 (iOS/iPadOS) oder os_version < 13.4 (macOS) — täglicher Report an SOC; KQL-Beispiel für Intune-Log Analytics: IntuneDevices | where OSVersion < "16.5" and DeviceType == "iPhone".
  • Proxy-/DNS-Logs: Zugriffe auf Domains, die kurz vor dem 2023-05-22-KEV-Datum registriert wurden und HTML/JS-Payloads ausliefern, korrelieren. SPL-Snippet: index=proxy url=* | where len(url) > 200 AND mime_type="text/html" | stats count by src_ip, url.
  • EDR-Prozessbaum (macOS): Ungewöhnliche Kindprozesse von com.apple.WebKit.WebContent oder SafariServices beobachten — insbesondere Spawning von sh, python3, curl oder osascript als Nachfolgeprozess (Sysmon for macOS / Jamf Protect Telemetrie).
  • Netzwerk-Telemetrie (Zeek): HTTP-Responses mit Content-Type: text/html und Body-Größe > 500 KB an Apple-Endgeräte (User-Agent-String enthält AppleWebKit) auf anomale Zeichenfolgen in Attributwerten prüfen; Alert bei Verbindungen zu IPs ohne Reverse-DNS-Eintrag.
  • Speicheranomalien (Endpoint): Auf macOS CrashReporter-Logs (/Library/Logs/DiagnosticReports/) nach WebKit-bezogenen Crash-Reports (WebContent, com.apple.Safari) suchen — häufige Crashes können auf Exploit-Versuche hindeuten: find /Library/Logs/DiagnosticReports -name "*WebContent*" -newer /tmp/baseline.

Metriken

Severity
critical
Priority-Score
218.77
KEV-Status
Aktiv ausgenutzt
Exploit-Reife
aktiv ausgenutzt (KEV)
XIEM Effective CVSS
6.5
Quelle: nvd-v3
CVSS v3
6.5
CVSS v4
—
EPSS-Perzentil
96.4 %
Kritisch — CVE liegt im obersten Fünftel aller heute bewerteten CVEs (Rang ≥ 80 %).
EPSS-Score
14.3 %
Erhöht — Modell schätzt 10-50 % Ausnutzungs-Wahrscheinlichkeit.
Veröffentlicht
2025-07-07 02:28 UTC
CWE
—

Betroffene Betriebssysteme

  • linux

    debian / debian_linux10.0

  • linux

    debian / debian_linux11.0

  • linux

    debian / debian_linux12.0

  • linux

    redhat / enterprise_linux6.0

  • linux

    redhat / enterprise_linux7.0

  • linux

    redhat / enterprise_linux8.0

  • linux

    redhat / enterprise_linux9.0

  • macos

    apple / mac_os_x10.14.6

  • macos

    apple / mac_os_x10.15.7

  • macos

    apple / mac_os_x

  • macos

    apple / macos

  • macos

    apple / visionos

  • mobile

    apple / iphone_os

  • other

    fedoraproject / fedora32

  • other

    fedoraproject / fedora33

  • other

    fedoraproject / fedora35

  • other

    fedoraproject / fedora36

  • other

    fedoraproject / fedora37

  • other

    fedoraproject / fedora38

  • other

    fedoraproject / fedora39

  • other

    fedoraproject / fedora40

  • other

    apple / ipados

  • other

    apple / tvos

  • other

    apple / watchos

Betroffene Produkte

Aus der Hersteller-/CERT-Meldung extrahierte Produkte und Versionsbereiche. Ein Version-Range wie „<4.14.6“ impliziert die Update-Empfehlung „auf 4.14.6 oder höher aktualisieren“.

  • apple

    safari14.1

  • apple

    safari14.1.1

  • apple

    safari15.3

  • apple

    safari15.6

  • apple

    safari15.6.1

  • apple

    safari16.0

  • apple

    safari16.2

  • apple

    safari16.3

  • apple

    safari16.4

  • apple

    safari16.4.1

  • apple

    safari16.5

  • apple

    safari16.5.1

  • apple

    safari16.5.2

  • apple

    safari17.0

  • apple

    safari17.1.2

  • apple

    safari17.2

  • apple

    safari17.6

  • apple

    safari18.0

  • apple

    safari18.2

  • apple

    safari18.4

  • bitnami

    jre1.9.0

  • google

    chrome124.0.6367.155

  • google

    chrome35.0.1916.113

  • google

    chrome

Öffentliche Exploit-Referenzen

Öffentliche Proof-of-Concepts und Detection-Templates für diese Schwachstelle. Die Reife reicht von gemeldeten PoCs über funktionsfähige Detection-Skripte bis hin zu vollständig waffenfähigen Exploit-Modulen. NEOSEC mirrort den Code intern für forensische Analysen; nach außen verlinken wir ausschließlich auf die Original-Quellen.

Quellen & Referenzen

Verknüpfte CVEs

205 weitere CVEs anzeigen
IDCVE-2023-28204