Adobe Content Credentials SDK: Path Traversal führt zu beliebigem Schreiben von Dateien
Zusammenfassung
Der Adobe Content Credentials Rust SDK (c2pa bis v0.91.10) und das C2PA Tool (c2patool bis v0.28.5) enthalten eine Path-Traversal-Schwachstelle (CWE-22). Ein Angreifer kann Dateien ausserhalb des vorgesehenen Verzeichnisses schreiben, was Adobe als beliebiges Schreiben von Dateien im Dateisystem beschreibt, und eine Sicherheitsfunktion umgehen. Für die Ausnutzung ist lokaler Zugriff auf das System sowie eine Benutzerinteraktion nötig, etwa wenn ein Opfer eine manipulierte Datei öffnet oder eine präparierte Seite besucht, die vom Tool verarbeitet wird.
Betroffen
- Adobe Content Credentials Rust SDK (c2pa) c2pa-v0.91.10 und frühere Versionen
- Adobe C2PA Tool (c2patool) c2patool-v0.28.5 und frühere Versionen
- Alle Plattformen
Behoben in
- Content Credentials Rust SDK: c2pa-v0.91.11
- C2PA Tool: c2patool-v0.28.6
Umgehung
Unbekannt.
Ausnutzung
- Adobe hat keine Kenntnis von Exploits in freier Wildbahn für die Probleme in APSB26-184.
- Zum Zeitpunkt der Erstellung wurde kein öffentlicher Exploit-Code und kein Eintrag im CISA-KEV-Katalog gefunden.
Unsere Empfehlung
- Aktualisieren Sie den Rust SDK auf c2pa-v0.91.11 und c2patool auf c2patool-v0.28.6; priorisieren Sie Build-Pipelines und Systeme, die nicht vertrauenswürdige Dateien verarbeiten.
- Erfassen Sie Anwendungen, Container-Images und CI-Umgebungen, die das c2pa-Crate einbetten oder c2patool ausführen, und prüfen Sie deren Versionen.
- Betreiben Sie die betroffenen Tools mit minimalen Rechten und beschränken Sie die beschreibbaren Verzeichnisse, bis ein Patch installiert ist.
- Verarbeiten Sie vor dem Update keine nicht vertrauenswürdigen Dateien oder URLs mit diesen Tools.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-184 www.adobe.com
- CVE Record CVE-2026-123267 www.cve.org
- Strix CVE-2026-123267 www.strix.ai
- OffSeq Radar CVE-2026-123267 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 16:08.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.