Adobe Content Credentials SDK: Improper Input Validation
Zusammenfassung
Das Content Credentials Rust SDK (bis c2pa-v0.91.10) und das C2PA Tool (bis c2patool-v0.28.5) von Adobe enthalten eine Schwachstelle bei der Eingabevalidierung, die eine Umgehung von Sicherheitsfunktionen und unautorisierten Schreibzugriff ermöglicht. Die Ausnutzung hängt von Bedingungen ab, die ausserhalb der Kontrolle des Angreifers liegen, und erfordert keine Benutzerinteraktion. Das Hauptrisiko sind gefälschte oder manipulierte Herkunftsnachweise in Systemen, die diese Entwicklerkomponenten einsetzen oder nicht vertrauenswürdige Mediendateien verarbeiten.
Betroffen
- Content Credentials Rust SDK: c2pa-v0.91.10 und älter, alle Plattformen
- C2PA Tool (c2patool): c2patool-v0.28.5 und älter, alle Plattformen
Behoben in
- Content Credentials Rust SDK: c2pa-v0.91.11 (gemäss CNA-Eintrag; in APSB26-184 bestätigen)
- C2PA Tool: c2patool-v0.28.6 (gemäss CNA-Eintrag; in APSB26-184 bestätigen)
Umgehung
Unbekannt. Es ist kein vom Hersteller dokumentierter Workaround bekannt; ein Update ist die empfohlene Massnahme.
Ausnutzung
- Adobe ist keine Ausnutzung in freier Wildbahn für die Probleme dieses Updates bekannt.
- Ein Drittanbieter-Tracker meldet die Schwachstelle als nicht bekannterweise ausgenutzt.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Systeme, CI/CD-Images und Build-Container inventarisieren, die c2patool oder das Rust SDK verwenden.
- Die Updates auf die korrigierten Versionen im Rahmen der regulären Patches einspielen (Herstellerpriorität 3).
- Systeme priorisieren, die Dateien aus nicht vertrauenswürdigen Quellen verarbeiten.
- Prüfen, ob Adobe-Desktopprodukte die betroffene SDK-Version enthalten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-184 www.adobe.com
- CVE Record CVE-2026-113573 www.cve.org
- OffSeq Radar: CVE-2026-113573 radar.offseq.com
- EUVD-2026-113573 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 15:01.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.