Intel

CVE-2023-28205

Red Hat Security Advisory: webkitgtk4 security update

criticalKEV: aktiv ausgenutztPoCEPSS 27 %

Beschreibung

Ein Verwendungsfehler nach Freigabe wurde durch verbesserte Speicherverwaltung behoben. Dieses Problem ist in Safari 16.4.1, iOS 15.7.5 und iPadOS 15.7.5, iOS 16.4.1 und iPadOS 16.4.1 sowie macOS Ventura 13.3.1 behoben. Das Verarbeiten bösartig erstellter Webinhalte kann zur willkürlichen Codeausführung führen. Apple ist sich eines Berichts bewusst, wonach dieses Problem möglicherweise aktiv ausgenutzt wurde.

Quelle: BSIBSI_CSAFREDHAT_CSAFCISA_KEVNVDCVEORGCVELISTV5

Behebung & Mitigation

Warum sofort handeln?

Priorisierung

CVE-2023-28205 ist ein Use-after-Free-Fehler im WebKit-HTML-Parser mit einem CVSS-v3-Score von 8.8 (AV:N/AC:L/PR:N/UI:R) und einem EPSS-Wert im 98. Perzentil — das bedeutet, dass statistisch nahezu alle aktiv ausgenutzten Schwachstellen ein geringeres Ausnutzungsrisiko aufweisen. Der Angriffsvektor erfordert lediglich, dass ein Nutzer eine präparierte Webseite öffnet (UI:R), was über Spear-Phishing-Links oder kompromittierte Werbenetzwerke (Malvertising) trivial erreichbar ist. Im KRITIS- und NIS2-Kontext sind insbesondere Führungskräfte und Personen mit privilegiertem Systemzugang exponiert, da gezielte Exploit-Delivery über personalisierte Links eine etablierte Angriffsmethode darstellt. Da kein CISA-Flag für Ransomware-Kampagnen gesetzt ist, deutet das Muster eher auf gezielte Spionage oder initiale Kompromittierung hin — Patch-Priorität bleibt dennoch kritisch, da beliebige Codeausführung im Browserkontext als Einstiegspunkt für weitere Lateral-Movement-Schritte dient.

Runbook · Schritt 1

Sofort-Response (0-24 h)

  • Patch sofort einspielen: Safari auf 16.4.1, iOS/iPadOS auf 15.7.5 oder 16.4.1, macOS Ventura auf 13.3.1 aktualisieren — Updates über Apple Software Update oder MDM (z. B. Jamf, Mosyle) verteilen.
  • Unverwaltete Apple-Endgeräte inventarisieren: Alle iPhones, iPads und Macs im Unternehmensnetz identifizieren, die noch unter den betroffenen Versionen laufen; Geräte ohne MDM-Anbindung priorisiert manuell prüfen.
  • Browsing auf ungepatchten Geräten einschränken: Bis zum Patch-Abschluss Safari und alle WebKit-basierten Browser (WKWebView-Apps) auf betroffenen Geräten via MDM-Konfigurationsprofil deaktivieren oder auf einen nicht-WebKit-Browser (Firefox für iOS nutzt ebenfalls WebKit — kein Ausweichweg auf iOS) beschränken; auf macOS kann Chrome/Firefox als temporäre Alternative dienen.
  • Privilegierte Nutzer priorisieren: Führungskräfte, IT-Admins und Personen mit Zugang zu kritischen Systemen (KRITIS-Kontext) zuerst patchen — diese Gruppe ist erfahrungsgemäß Ziel gezielter Exploit-Delivery über präparierte Webseiten oder Spear-Phishing-Links.
  • Netzwerk-Proxy-Logs auf verdächtige Weiterleitungsketten prüfen: Zugriffe auf unbekannte oder kurzlebige Domains unmittelbar vor oder nach dem Besuch legitimer Seiten können auf Exploit-Staging hinweisen.

Runbook · Schritt 2

Mitigation-Layer

  • Netzwerksegmentierung: Apple-Endgeräte in einem dedizierten VLAN halten; ausgehenden Traffic auf bekannte, kategorisierte Domains beschränken (DNS-Filterung via Cisco Umbrella, Zscaler oder Pi-hole mit Blocklisten).
  • Web-Proxy / TLS-Inspection: TLS-Inspection für verwaltete Geräte aktivieren, um präparierte HTML-Payloads im Transit zu erkennen; WAF/IPS-Signaturen für bekannte WebKit-Exploit-Muster aktivieren (Suricata-Regelset „emerging-exploit" prüfen).
  • MDM-Richtlinie — Content-Filter: Über Apple-MDM (Supervised Mode) einen On-Device-Content-Filter oder DNS-Proxy erzwingen, der den Aufruf nicht kategorisierter oder neu registrierter Domains blockiert.
  • Least Privilege auf Endgerät: Sicherstellen, dass Safari/WebKit-Prozesse nicht mit erhöhten Rechten laufen; auf macOS System Integrity Protection (SIP) und Gatekeeper aktiviert lassen.
  • E-Mail-Gateway: Links in eingehenden E-Mails auf Sandbox-Analyse umleiten (URL-Rewriting); Anhänge mit eingebetteten Webinhalten (HTML-Anhänge, .webloc-Dateien) blockieren.

Runbook · Schritt 3

Detection-Regeln

  • Proxy-/DNS-Logs — Newly Registered Domains: Alert auf DNS-Anfragen an Domains, die weniger als 30 Tage alt sind, kombiniert mit User-Agent-Strings, die auf Safari oder WKWebView hinweisen. 
    SPL: index=proxy user_agent="*Safari*" dest_domain_age<30d | stats count by src_ip, dest_domain
  • EDR — Prozess-Abstammung (macOS): Kindprozesse von com.apple.WebKit.WebContent oder SafariServices die Shell-Interpreter (sh, bash, zsh, python3) spawnen — starkes Indiz für Post-Exploitation. 
    Sigma shape: process.parent.name: "com.apple.WebKit.WebContent" AND process.name: ("sh" OR "bash" OR "zsh")
  • Syslog / Unified Log (macOS): Crash-Reports unter /Library/Logs/DiagnosticReports/ mit Prozessname com.apple.WebKit.WebContent und Signaltyp SIGSEGV oder SIGABRT häufen sich — kann auf Exploit-Versuche hinweisen, auch wenn sie fehlschlagen.
  • Netzwerk-Telemetrie (Zeek/Suricata): HTTP(S)-Responses mit ungewöhnlich großen JavaScript-Payloads (> 500 KB) von Domains ohne Reputationseintrag, gefolgt von ausgehenden Verbindungen auf nicht-Standard-Ports (> 1024, nicht 443/80) vom selben Host innerhalb von 60 Sekunden.
  • MDM-Compliance-Alert: Geräte, die nach Ablauf des Patch-Deadlines noch eine WebKit-Version unter den Fix-Versionen melden, automatisch als „non-compliant" markieren und in ein Quarantäne-VLAN verschieben.

Metriken

Severity
critical
Priority-Score
218.77
KEV-Status
Aktiv ausgenutzt
Exploit-Reife
aktiv ausgenutzt (KEV)
XIEM Effective CVSS
8.8
Quelle: nvd-v3
CVSS v3
8.8
CVSS v4
—
EPSS-Perzentil
97.9 %
Kritisch — CVE liegt im obersten Fünftel aller heute bewerteten CVEs (Rang ≥ 80 %).
EPSS-Score
27.1 %
Erhöht — Modell schätzt 10-50 % Ausnutzungs-Wahrscheinlichkeit.
Veröffentlicht
2025-07-07 02:28 UTC
CWE
—

Betroffene Betriebssysteme

  • linux

    debian / debian_linux10.0

  • linux

    debian / debian_linux11.0

  • linux

    debian / debian_linux12.0

  • linux

    redhat / enterprise_linux6.0

  • linux

    redhat / enterprise_linux7.0

  • linux

    redhat / enterprise_linux8.0

  • linux

    redhat / enterprise_linux9.0

  • macos

    apple / mac_os_x10.14.6

  • macos

    apple / mac_os_x10.15.7

  • macos

    apple / mac_os_x

  • macos

    apple / macos

  • macos

    apple / visionos

  • mobile

    apple / iphone_os

  • other

    fedoraproject / fedora32

  • other

    fedoraproject / fedora33

  • other

    fedoraproject / fedora35

  • other

    fedoraproject / fedora36

  • other

    fedoraproject / fedora37

  • other

    fedoraproject / fedora38

  • other

    fedoraproject / fedora39

  • other

    fedoraproject / fedora40

  • other

    apple / ipados

  • other

    apple / tvos

  • other

    apple / watchos

Betroffene Produkte

Aus der Hersteller-/CERT-Meldung extrahierte Produkte und Versionsbereiche. Ein Version-Range wie „<4.14.6“ impliziert die Update-Empfehlung „auf 4.14.6 oder höher aktualisieren“.

  • apple

    safari14.1

  • apple

    safari14.1.1

  • apple

    safari15.3

  • apple

    safari15.6

  • apple

    safari15.6.1

  • apple

    safari16.0

  • apple

    safari16.2

  • apple

    safari16.3

  • apple

    safari16.4

  • apple

    safari16.4.1

  • apple

    safari16.5

  • apple

    safari16.5.1

  • apple

    safari16.5.2

  • apple

    safari17.0

  • apple

    safari17.1.2

  • apple

    safari17.2

  • apple

    safari17.6

  • apple

    safari18.0

  • apple

    safari18.2

  • apple

    safari18.4

  • bitnami

    jre1.9.0

  • google

    chrome124.0.6367.155

  • google

    chrome35.0.1916.113

  • google

    chrome

Öffentliche Exploit-Referenzen

Öffentliche Proof-of-Concepts und Detection-Templates für diese Schwachstelle. Die Reife reicht von gemeldeten PoCs über funktionsfähige Detection-Skripte bis hin zu vollständig waffenfähigen Exploit-Modulen. NEOSEC mirrort den Code intern für forensische Analysen; nach außen verlinken wir ausschließlich auf die Original-Quellen.

Quellen & Referenzen

Verknüpfte CVEs

205 weitere CVEs anzeigen
IDCVE-2023-28205