Adobe Content Credentials SDK: Unzureichende Zertifikatsprüfung
Zusammenfassung
Das Content Credentials Rust SDK (bis c2pa-v0.91.10) und das C2PA Tool (bis c2patool-v0.28.5) von Adobe prüfen Zertifikate nicht korrekt. Ein lokaler Angreifer mit niedrigen Privilegien und ohne Benutzerinteraktion könnte Sicherheitsprüfungen umgehen und integritätsrelevante Daten verändern, wobei die Ausnutzung eine hohe Komplexität erfordert und von Bedingungen abhängt, die der Angreifer nicht kontrolliert. Die Schwachstelle ist mit mittel (CVSS 5.1) bewertet, und es ist keine Ausnutzung in freier Wildbahn bekannt.
Betroffen
- Content Credentials Rust SDK: c2pa-v0.91.10 und frühere Versionen
- C2PA Tool: c2patool-v0.28.5 und frühere Versionen
- Alle Plattformen
Behoben in
- Content Credentials Rust SDK: c2pa-v0.91.11
- C2PA Tool: c2patool-v0.28.6
- Die Versionen stammen aus dem CVE-Eintrag; bitte mit Advisory APSB26-184 abgleichen.
Umgehung
Unbekannt. Es ist kein Workaround des Herstellers dokumentiert. Schreibzugriff auf betroffene Signier- oder Prüfpipelines bis zum Patch einschränken.
Ausnutzung
- Adobe ist keine Ausnutzung in freier Wildbahn bekannt.
- Nicht in der CISA-KEV-Liste enthalten.
- Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Systeme und Build-Pipelines ermitteln, die das Content Credentials Rust SDK oder das C2PA Tool verwenden, einschliesslich eingebundener Kopien.
- Im nächsten regulären Wartungszyklus auf c2pa-v0.91.11 bzw. c2patool-v0.28.6 aktualisieren, bei Auslieferung dieser Komponenten in eigener Software früher.
- Bis zum Patch keine Prüfergebnisse als Grundlage für Vertrauensentscheidungen verwenden.
- Auf öffentlichen Proof-of-Concept-Code und Herstellerupdates achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-184 www.adobe.com
- CVE Record CVE-2026-122098 www.cve.org
- OpenCVE CVE-2026-122098 app.opencve.io
- OffSeq threat radar CVE-2026-122098 radar.offseq.com
- Strix CVE-2026-122098 www.strix.ai
- HKCERT Adobe security update November 2026 www.hkcert.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 19:06.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.