BLACKOUT MAP

Apple · iOS, iPadOS, and macOS

CVE-2023-28206

Apple iOS, iPadOS, and macOS IOSurfaceAccelerator Out-of-Bounds Write Vulnerability

Exploitée dans des attaques Élevé 8,6 Risque d'attaque : 23%
Partager

De quoi s'agit-il

An out-of-bounds write issue was addressed with improved input validation. This issue is fixed in macOS Monterey 12.6.5, iOS 16.4.1 and iPadOS 16.4.1, macOS Ventura 13.3.1, iOS 15.7.5 and iPadOS 15.7.5, macOS Big Sur 11.7.6. An app may be able to execute arbitrary code with kernel privileges. Apple is aware of a report that this issue may have been actively exploited.

CISA: Apple iOS, iPadOS, and macOS IOSurfaceAccelerator contain an out-of-bounds write vulnerability that allows an app to execute code with kernel privileges.

Que faire

Apply updates per vendor instructions.

Échéance pour les agences fédérales américaines : 1 mai 2023

Ajoutée à la liste de la CISA
10 avril 2023
Publiée
10 avril 2023
Gravité
Élevé 8,6 CVSS 3.1
Probabilité d'attaques dans les 30 prochains jours (EPSS)
23% dans les 2,2% les plus à risque de toutes les failles connues
Faiblesse
CWE-787
Plus de détails
NVD · CVE.org · CISA
Toutes les références (5)

Autres failles exploitées chez Apple

AjoutéFailleProduitGravitéRisque d'attaque
21 août 2025Out-of-Bounds WriteCVE-2025-43300iOS, iPadOS, and macOSCritique 10,065%
11 sept. 2023ImageIO Buffer OverflowCVE-2023-41064iOS, iPadOS, and macOSÉlevé 7,853%
30 mars 2023Out-of-Bounds WriteCVE-2021-30900iOS, iPadOS, and macOSÉlevé 7,85,2%
14 sept. 2022Remote Code ExecutionCVE-2022-32917iOS, iPadOS, and macOSÉlevé 7,85,6%
8 sept. 2022Input ValidationCVE-2020-9934iOS, iPadOS, and macOSMoyenne 5,53,2%
11 févr. 2022Webkit Use-After-FreeCVE-2022-22620iOS, iPadOS, and macOSÉlevé 8,816%
3 nov. 2021WebKit Remote Code ExecutionCVE-2021-1870iOS, iPadOS, and macOSCritique 9,87,7%
3 nov. 2021WebKit Remote Code ExecutionCVE-2021-1871iOS, iPadOS, and macOSCritique 9,87,0%

Toutes →

Sources : Known Exploited Vulnerabilities (CISA, domaine public), CVE records (cve.org) et EPSS (FIRST). Le risque d'attaque est l'estimation EPSS qu'une personne tente d'exploiter la faille dans les 30 prochains jours.