„`html
Zusammenfassung
Die Schwachstelle CVE-2026-47114 betrifft IINA, einen beliebten Video-Player für macOS, in Versionen vor 1.4.3. Sie ermöglicht es Angreifern, durch manipulierte URLs beliebige Befehle auf dem System des Opfers auszuführen. Die Vulnerabilität wird als „High“ eingestuft und weist einen CVSS-Score von 8.8 auf. Derzeit ist kein Patch verfügbar.
Betroffene Systeme
Betroffen sind IINA-Installationen vor Version 1.4.3 auf macOS-Systemen. Der Angriff erfolgt netzwerkbasiert über den benutzergesteuerten iina://open Custom URL Scheme Handler. Ein Update wird dringend empfohlen.
Technische Details
Die Schwachstelle basiert auf unzureichender Validierung von Eingabeparametern im Custom URL Scheme. Angreifer können mpv_-prefixed Query-Parameter in der iina://open-URL einschleusen, welche direkt in die mpv-Runtime übergeben werden. Dies ermöglicht die Ausführung von mpv-Befehlen und Input-Commands ohne Validierung.
Der Angriff setzt voraus, dass der Benutzer eine manipulierte URL aus dem Browser aufruft und der anschließenden Protokoll-Anfrage zustimmt. Nach Genehmigung durch den Nutzer können beliebige Befehle mit dessen Berechtigungen ausgeführt werden – eine gültige Mediendatei ist nicht erforderlich.
Beispiel: iina://open?mpv_=–input-ipc-server=/tmp/mpv_socket&mpv_options=command_to_execute
Empfohlene Massnahmen
- Sofortige Aktualisierung von IINA auf Version 1.4.3 oder höher durchführen
- Vorsicht beim Öffnen von IINA-Links aus unbekannten Quellen
- Browser-Sicherheitseinstellungen überprüfen und Custom Protocol Handler restriktiv handhaben
- Regelmäßige Sicherheitsupdates für macOS installieren
- Monitoring auf verdächtige IINA-URL-Muster implementieren
Bewertung
CVSS 8.8 (High) – Diese Einstufung ist gerechtfertigt durch die Kombination aus Netzwerk-Zugänglichkeit, benutzergesteuerte Aktivierung und vollständige Ausführung beliebiger Befehle. Die Anforderung einer benutzergesteuerten Aktion reduziert das Exploitierungspotenzial minimal, macht die Schwachstelle aber dennoch kritisch für aktive Anwender.
„`