Adobe Substance 3D Stager: Use-after-free-Schwachstelle ermöglicht Codeausführung
Zusammenfassung
Adobe Substance 3D Stager in den Versionen 3.1.8 und älter unter Windows und macOS enthält eine Use-after-free-Schwachstelle (CWE-416). Ein Angreifer kann beliebigen Code mit den Rechten des aktuellen Benutzers ausführen, wenn ein Opfer eine manipulierte Datei öffnet. Der Angriff erfordert eine Benutzerinteraktion und keine Authentifizierung; die Schwachstelle wird mit hoch und einem CVSS-Wert von 7.8 bewertet.
Betroffen
- Adobe Substance 3D Stager 3.1.8 und älter (Windows und macOS)
Behoben in
- Adobe Substance 3D Stager 3.1.9 (über die Creative-Cloud-Desktop-App oder die Admin-Konsole)
Umgehung
- Unbekannt. Für diese CVE wurde kein von Adobe veröffentlichter Workaround gefunden; die Aktualisierung auf 3.1.9 ist die empfohlene Massnahme.
Ausnutzung
- Adobe ist keine Ausnutzung in freier Wildbahn bekannt.
- Der CISA-KEV-Status wurde nicht direkt geprüft; ein Drittanbieter-Tracker führt die Schwachstelle nicht im KEV-Katalog.
- Es wurde kein öffentlicher Proof-of-Concept oder Exploit-Code gefunden.
Unsere Empfehlung
- Alle Installationen von Substance 3D Stager erfassen.
- Innerhalb des normalen Patch-Fensters der Arbeitsstationen über die Creative-Cloud-Desktop-App auf Version 3.1.9 oder neuer aktualisieren.
- Benutzer daran erinnern, Stager-Projektdateien von unbekannten oder unerwarteten Absendern nicht zu öffnen.
- Auf weitere Stager-Updates achten, da in neueren Versionen mehrere verwandte Speicherfehler behoben wurden.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-170 www.adobe.com
- CVE record mirror (Vulners) vulners.com
- Tenable/Nessus plugin check for APSB26-170 vulners.com
- Strix CVE-2026-103843 www.strix.ai
- Strix CVE-2026-27309 (related Stager use-after-free) www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 00:16.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.