Adobe Content Credentials: Unzureichende Signaturprüfung ermöglicht Sicherheitsumgehung
Zusammenfassung
Das Content Credentials Rust SDK (c2pa) und das C2PA Tool (c2patool) von Adobe prüfen kryptografische Signaturen in C2PA-Manifesten nicht korrekt. Ein Angreifer, der präparierte signierte Inhalte an eine betroffene Anwendung übergeben kann, kann Sicherheitsprüfungen umgehen und einen unberechtigten Schreibzugriff erlangen. Die Ausnutzung hängt von Bedingungen ab, die ausserhalb der Kontrolle des Angreifers liegen, und es ist keine Benutzerinteraktion erforderlich.
Betroffen
- Content Credentials Rust SDK (c2pa): Version c2pa-v0.91.10 und älter
- C2PA Tool (c2patool): Version c2patool-v0.28.5 und älter
Behoben in
- Content Credentials Rust SDK: c2pa-v0.91.11
- C2PA Tool: c2patool-v0.28.6
Umgehung
Unbekannt. Es wurde kein Workaround des Herstellers identifiziert. Die Aktualisierung auf die korrigierten Versionen ist die empfohlene Massnahme.
Ausnutzung
- Adobe ist keine Ausnutzung dieser Schwachstellen in freier Wildbahn bekannt.
- Für diese CVE wurde kein öffentlicher Proof of Concept identifiziert. Dieser Status ist unbekannt und nicht als nicht vorhanden bestätigt.
Unsere Empfehlung
- Alle Verwendungen des Rust SDK oder des C2PA Tools erfassen, einschliesslich CI/CD-Images und Drittprodukte, die sie enthalten.
- Auf c2pa-v0.91.11 oder c2patool-v0.28.6 oder neuer aktualisieren.
- Falls Entscheidungen zur Herkunftsprüfung von Inhalten mit verwundbaren Versionen für Compliance oder als Beweismittel relevant sind, nach der Aktualisierung erneut prüfen.
- Die Priorität ist für die meisten KMU niedrig, sofern sie keine Software bauen oder ausliefern, die diese Bibliotheken einbettet.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-184 www.adobe.com
- CVE Record CVE-2026-123261 www.cve.org
- HKCERT Adobe Monthly Security Update November 2026 www.hkcert.org
- VulDB CVE-2026-123261 vuldb.com
- Strix CVE-2026-123261 www.strix.ai
- OffSeq Radar CVE-2026-123261 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 14:58.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.