Google Chrome enthält in der Komponente DisplayLocking eine Speicherbeschädigung (CWE-119). Ein entfernter Angreifer könnte einen Benutzer über eine präparierte HTML-Seite dazu bringen, potenziell beliebigen Code innerhalb der Browser-Sandbox auszuführen. Der Angriff erfordert eine Benutzerinteraktion, etwa den Besuch der Seite, aber keine Anmeldung oder Berechtigungen. Google stuft den Schweregrad laut Chromium als High ein, der CVSS-3.1-Basiswert beträgt 8.8.
Google · Chrome
Ein Use-after-free-Fehler in der Passwort-Komponente von Google Chrome für Android erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Sandbox des Browsers auszuführen. Der Angreifer muss einen Benutzer dazu bringen, eine präparierte HTML-Seite aufzurufen, weshalb die Gefährdung durch gewöhnliches Surfen im Web entsteht. Gemäss CVSS-Vektor und CISA-SSVC-Daten ist die Ausnutzung nicht automatisierbar, und es wurde keine Ausnutzung gemeldet.
Google · Chrome
Ein Use-after-free-Fehler in der Komponente PerformanceAPIs von Google Chrome for Android erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Der Angreifer benötigt dafür, dass der Benutzer eine präparierte HTML-Seite öffnet, zum Beispiel über einen Phishing-Link oder eine kompromittierte Website. Google stuft den Fehler in der internen Chromium-Schweregradbewertung als Low ein, der CVSS-Basiswert beträgt 8.8. Die Korrektur ist in Chrome for Android 156.0.8078.47 enthalten.
Google · Chrome for Android
Google-Chrome-Desktopversionen vor 156.0.8078.47 enthalten eine Speicherbeschädigung in der Komponente Interstitials. Ein entfernter Angreifer kann über eine präparierte HTML-Seite beliebigen Code innerhalb der Sandbox des Browsers ausführen. Der Angriff setzt voraus, dass das Opfer die Seite besucht, zum Beispiel über einen Phishing-Link oder eine kompromittierte Website. Codeausführung, die auf die Sandbox beschränkt ist, ermöglicht für sich allein noch keine vollständige Kontrolle über das System.
Google · Chrome
Google Chrome Versionen vor 156.0.8078.47 enthalten eine unzureichende Eingabevalidierung in der Komponente PrintPreview. Ein entfernter Angreifer kann mit einer präparierten HTML-Seite potenziell beliebigen Code ausserhalb der Chrome-Sandbox ausführen. Der Angriff erfordert, dass ein Benutzer die manipulierte Seite öffnet, zum Beispiel über Phishing oder eine kompromittierte Website. Chromium stuft die Schwachstelle als Medium ein, während NVD sie mit 9.6 (Critical) bewertet.
Google · Chrome
Eine Speicherkorruption in der Komponente Mobile von Google Chrome auf Android ermöglicht einem entfernten Angreifer, möglicherweise beliebigen Code innerhalb der Browser-Sandbox auszuführen. Voraussetzung ist, dass ein Benutzer eine präparierte HTML-Seite öffnet. Google stuft den Chromium-Sicherheitsschweregrad als niedrig ein, der CVSS-Wert beträgt 8.8. Eine Ausnutzung in freier Wildbahn ist nicht bekannt.
Google · Chrome
Google Chrome vor 156.0.8078.47 enthält eine Use-after-free-Schwachstelle in der Komponente Actor. Ein entfernter Angreifer kann durch eine präparierte HTML-Seite beliebigen Code innerhalb der Sandbox des Browsers ausführen. Voraussetzung ist, dass ein Benutzer die Seite öffnet, etwa über einen bösartigen Link oder eine kompromittierte Website. Für eine vollständige Kompromittierung wäre normalerweise eine zweite Schwachstelle zum Verlassen der Sandbox nötig.
Google · Chrome
Google Chrome Versionen vor 156.0.8078.47 enthalten eine unzureichende Eingabevalidierung in der Input-Komponente. Ein entfernter Angreifer kann über eine präparierte HTML-Seite möglicherweise beliebigen Code innerhalb der Sandbox des Browsers ausführen. Laut CVSS-Vektor ist eine Benutzerinteraktion erforderlich (UI:R), daher muss ein Opfer die Seite trotzdem öffnen.
Google · Chrome
Eine Use-after-free-Schwachstelle im Media-Component von Google Chrome vor 156.0.8078.47 erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Voraussetzung ist, dass ein Benutzer eine präparierte HTML-Seite öffnet. Chromium stuft die Schwachstelle als niedrig ein, der CVSS-Wert beträgt 8.8. Es wurden keine Hinweise auf eine Ausnutzung gefunden, und die Auswirkungen beschränken sich auf den Sandbox-Renderer, sofern die Schwachstelle nicht mit einer weiteren Schwachstelle verkettet wird.
Google · Chrome
Google Chrome-Versionen vor 156.0.8078.47 enthalten eine unzureichende Eingabevalidierung in der Komponente Permissions. Ein entfernter Angreifer kann über eine präparierte HTML-Seite möglicherweise beliebigen Code ausserhalb der Browser-Sandbox ausführen. Der Angriff setzt voraus, dass ein Benutzer die manipulierte Seite besucht; ein Konto ist nicht nötig. Chromium stuft die Lücke als mittel ein, während NVD und Microsoft sie mit CVSS 9.6 (kritisch) bewerten.
Google · Chrome
Eine Speicherbeschädigung in der Komponente 'Actor' von Google Chrome für Android erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Für den Angriff muss ein Benutzer eine präparierte HTML-Seite öffnen, zum Beispiel über einen Phishing-Link oder eine bösartige Werbung. Google stuft die Chromium-Schwere als niedrig ein, der CVSS-Basiswert beträgt 8.8 (hoch).
Google · Chrome for Android
Recherche und Übersetzung laufen – in Kürze hier.
Eine Use-after-free-Schwachstelle in der Komponente Compositing von Google Chrome erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Dafür muss ein Opfer eine präparierte HTML-Seite aufrufen, ein Konto ist nicht nötig, eine Benutzerinteraktion aber schon. Eine vollständige Kompromittierung des Systems würde zusätzlich einen separaten Sandbox-Ausbruch erfordern.
Google · Chrome
Ein Use-after-free-Fehler in der Komponente WebAppInstalls des Desktop-Browsers Google Chrome erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Der Angreifer benötigt nur, dass ein Benutzer eine präparierte HTML-Seite öffnet, und es ist keine Anmeldung erforderlich. Google stuft den Chromium-Sicherheitsschweregrad als niedrig ein, der CVSS-Basiswert beträgt 8.8. Eine Ausnutzung in freier Wildbahn ist nicht bekannt.
Google · Chrome
Google Chrome vor 156.0.8078.47 enthaelt in SiteIsolation, der Komponente, die Websites in getrennten Prozessen isoliert, eine Use-after-free-Schwachstelle. Ein entfernter Angreifer kann mit einer praeparierten HTML-Seite potenziell beliebigen Code innerhalb der Renderer-Sandbox ausfuehren. Der Angriff setzt voraus, dass ein Benutzer die manipulierte Seite oeffnet, und eine vollstaendige Kompromittierung wuerde normalerweise zusaetzlich einen Sandbox-Ausbruch erfordern, der fuer diese CVE nicht bestaetigt ist.
Google · Chrome
Google Chrome Desktop-Versionen vor 156.0.8078.47 enthalten eine unzureichende Eingabeprüfung (CWE-20) in der Komponente Compositing. Ein entfernter Angreifer kann eine manipulierte HTML-Seite erstellen, die potenziell beliebigen Code ausserhalb der Browser-Sandbox ausführen könnte. Das Opfer muss die Seite öffnen, und für einen Ausbruch aus der Sandbox wäre voraussichtlich eine weitere Schwachstelle nötig, was nicht verifiziert wurde.
Google · Chrome
Recherche und Übersetzung laufen – in Kürze hier.
Eine Use-after-free-Schwachstelle in der Toolbar-Komponente von Google Chrome auf Android erlaubt es einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Der Angreifer benötigt, dass das Opfer eine präparierte HTML-Seite öffnet, daher ist keine Authentifizierung nötig, wohl aber eine Interaktion des Benutzers. Der Hersteller stuft das Problem in der Chromium-Bewertung als mittlere Schwere ein.
Google · Chrome
Google Chrome vor 156.0.8078.47 enthält eine Use-after-free-Schwachstelle in DevTools. Ein entfernter Angreifer kann beliebigen Code innerhalb der Browser-Sandbox ausführen, indem er einen Benutzer auf eine präparierte HTML-Seite lockt. Eine Authentifizierung ist nicht nötig, der Benutzer muss die Seite jedoch laden. Die Codeausführung ist auf die Sandbox beschränkt, und für diese CVE wird keine Sandbox-Flucht beschrieben.
Google · Chrome
Eine Use-after-Free-Schwachstelle in der Media-Komponente von Google Chrome unter Windows erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Der Angreifer benötigt, dass das Opfer eine präparierte HTML-Seite öffnet, daher handelt es sich um einen Drive-by-Angriff über jede Webseite. Gemäss CVE-Eintrag beschränkt sich die Auswirkung auf die Sandbox; eine vollständige Kompromittierung des Systems würde zusätzlich eine Sandbox-Flucht erfordern, die nicht beschrieben ist.
Google · Chrome
Eine Use-after-free-Schwachstelle (CWE-416) in der Browser-Komponente von Google Chrome vor 156.0.8078.47 erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Der Angriff setzt voraus, dass ein Benutzer eine präparierte HTML-Seite besucht, zum Beispiel durch Phishing oder eine kompromittierte Website. NVD stuft die Schwachstelle mit CVSS 8.8 (hoch) ein. Der im CVE-Eintrag verlinkte Chromium-Tracker scheint eine andere Schwachstelle zu beschreiben, weshalb die Zuordnung nicht bestätigt ist.
Google · Chrome
Google Chrome-Versionen vor 156.0.8078.47 enthalten einen Speicherfehler in der CSS-Engine (CWE-119). Ein entfernter Angreifer kann mit einer präparierten HTML-Seite möglicherweise Code ausserhalb der Browser-Sandbox ausführen. Die Ausnutzung setzt voraus, dass ein Benutzer die Seite aufruft, zum Beispiel über einen Link in einer Phishing-E-Mail. Google stuft die Lücke als kritisch ein; es sind keine öffentlichen Exploits und keine bekannte Ausnutzung gemeldet.
Google · Chrome
Eine Use-after-free-Schwachstelle in der Benachrichtigungskomponente von Google Chrome for Android vor 156.0.8078.47 erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Dazu muss ein Opfer eine präparierte HTML-Seite öffnen, zum Beispiel über einen Phishing-Link oder eine kompromittierte Website; eine Anmeldung ist nicht erforderlich. Chromium stuft das Problem als Medium ein, und es wurde keine Ausnutzung gemeldet. Einige Angaben zur Ursache unterscheiden sich zwischen den Quellen und sind nicht bestätigt.
Google · Chrome for Android
Recherche und Übersetzung laufen – in Kürze hier.
Eine Speicherbeschädigung in der Compositing-Komponente von Google Chrome vor 156.0.8078.47 erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Dafür muss das Opfer eine präparierte HTML-Seite öffnen, zum Beispiel auf einer schädlichen oder kompromittierten Website. Google stuft den Chromium-Schweregrad als mittel ein; der angegebene CVSS-Basiswert von 8.8 konnte nicht gegen NVD verifiziert werden. Eine Ausnutzung in freier Wildbahn ist nicht bekannt.
Google · Chrome
