Alle neu veröffentlichten Sicherheitslücken (CVE), laufend aus der NVD, mit aktiv ausgenutzten Lücken der CISA, der Ausnutzungswahrscheinlichkeit (EPSS) und öffentlichen Exploits – jede einzeln recherchiert: Was ist betroffen, was hilft, was ist zu tun.
Eine unzureichende Eingabevalidierung in der Komponente FileAPI von Google Chrome für Desktop ermöglicht es einem entfernten Angreifer, potenziell beliebigen Code innerhalb der Browser-Sandbox auszuführen. Der Angreifer muss einen Benutzer auf eine präparierte HTML-Seite locken; eine Authentifizierung ist nicht erforderlich. Chromium stuft die Schwachstelle als kritisch ein, und zum Zeitpunkt der Quellen war keine bekannte Ausnutzung gemeldet.
Ein Use-after-free-Fehler (CWE-416) in der Browser-Komponente von Google Chrome erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Voraussetzung ist, dass ein Benutzer eine präparierte HTML-Seite öffnet; eine Anmeldung ist nicht nötig. Der CVE-Eintrag nennt nur Windows; Sekundärquellen nennen zusätzlich Linux und Mac. Die CVE beschreibt kein Ausbrechen aus der Sandbox, daher wäre eine vollständige Kompromittierung des Systems normalerweise nur mit einer zweiten Schwachstelle möglich.
Google Chrome unter macOS vor 156.0.8078.73 enthält eine unzureichende Eingabevalidierung in ANGLE, der Grafik-Übersetzungsschicht des Browsers. Ein Angreifer kann mit einer präparierten HTML-Seite möglicherweise beliebigen Code innerhalb der Browser-Sandbox ausführen. Der Angriff setzt voraus, dass ein Benutzer die manipulierte Seite öffnet; eine Anmeldung ist nicht nötig.
Eine unzureichende Eingabevalidierung in der WebRTC-Komponente von Google Chrome erlaubt einem entfernten Angreifer, möglicherweise beliebigen Code innerhalb der Browser-Sandbox auszuführen. Der Angreifer benötigt dafür, dass ein Opfer eine präparierte HTML-Seite öffnet; eine Anmeldung ist nicht nötig, eine Benutzerinteraktion dagegen schon. Die Codeausführung beschränkt sich auf die Sandbox; für diese CVE ist kein Sandbox-Escape öffentlich bekannt.
Eine Speicherkorruption in der Media-Komponente von Google Chrome vor 156.0.8078.73 kann durch eine präparierte HTML-Seite ausgelöst werden. Ein Angreifer, der einen Benutzer auf eine solche Seite lockt, kann unter Umständen beliebigen Code innerhalb der Browser-Sandbox ausführen. Die Ausnutzung erfordert, dass das Opfer die Seite öffnet, und es sind keine Berechtigungen nötig. Chromium stuft die Lücke als High ein.
Eine unzureichende Eingabevalidierung in der Core-Komponente von Google Chrome auf Android erlaubt einem entfernten Angreifer, potenziell beliebigen Code ausserhalb der Browser-Sandbox auszuführen. Voraussetzung ist, dass ein Benutzer eine präparierte HTML-Seite aufruft. Die NVD führt einen CVSS-Wert von 9.6 (Kritisch), andere Quellen nennen 8.8 oder 6.3, und Google stuft die Lücke als Hoch ein.
Eine Speicherbeschädigung in der V8-JavaScript-Engine von Google Chrome ermöglicht einem entfernten Angreifer, potenziell beliebigen Code innerhalb der Browser-Sandbox auszuführen. Voraussetzung ist, dass ein Benutzer eine präparierte HTML-Seite besucht, zum Beispiel über einen Phishing-Link oder eine kompromittierte Website. Die Codeausführung innerhalb der Sandbox ist ernst zu nehmen, für eine vollständige Kompromittierung ist jedoch in der Regel zusätzlich ein Sandbox-Escape nötig, und für diese CVE ist keine solche Kette bekannt.
Eine Speicherbeschädigung in der HTML-Engine von Google Chrome Desktop-Versionen vor 156.0.8078.73 kann durch eine präparierte Webseite ausgelöst werden. Ein entfernter Angreifer kann dadurch potenziell beliebigen Code innerhalb der Browser-Sandbox ausführen. Voraussetzung ist, dass ein Benutzer die manipulierte Seite besucht, zum Beispiel über einen Link, eine Werbung oder eine kompromittierte Website.
Eine Schwachstelle in der JavaScript-Engine V8 von Google Chrome, verursacht durch unzureichende Eingabevalidierung, ist mit CVSS 9.6 als kritisch eingestuft. Ein entfernter Angreifer kann durch eine präparierte HTML-Seite möglicherweise beliebigen Code ausserhalb der Browser-Sandbox ausführen. Eine Benutzerinteraktion ist erforderlich, daher betrifft das Risiko vor allem Arbeitsplatzsysteme, auf denen Benutzer unbekannte Links öffnen.
Google Chrome vor 156.0.8078.73 enthält eine Schwachstelle bei der Eingabevalidierung in der SVG-Verarbeitung. Ein entfernter Angreifer kann eine präparierte HTML-Seite erstellen, mit der sich möglicherweise beliebiger Code innerhalb der Sandbox des Browsers ausführen lässt. Der Angriff erfordert, dass das Opfer die schädliche Seite öffnet, und Chromium stuft das Problem als High, nicht als Critical, ein.
Google Chrome für Android vor 156.0.8078.73 enthält eine Schwachstelle bei der Eingabevalidierung in der Benutzeroberfläche (CWE-20). Ein entfernter Angreifer kann über eine präparierte HTML-Seite möglicherweise beliebigen Code innerhalb der Sandbox des Browsers ausführen. Voraussetzung ist, dass ein Benutzer die manipulierte Seite aufruft; der CVSS-Wert beträgt 8.8 (hoch).
Eine Use-after-Free-Schwachstelle in der Video-Komponente von Google Chrome Desktop erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Der Angreifer muss einen Benutzer dazu bringen, eine präparierte HTML-Seite aufzurufen; ein Benutzerkonto ist nicht erforderlich. Chromium stuft den Schweregrad als hoch ein, es sind keine Ausnutzungen bekannt und ein Ausbruch aus der Sandbox ist nicht bestätigt.
Eine Speicherbeschädigung in der Komponente Paint von Google Chrome vor 156.0.8078.73 kann durch eine präparierte HTML-Seite ausgelöst werden. Ein entfernter Angreifer könnte dadurch potenziell beliebigen Code ausserhalb der Browser-Sandbox ausführen. Der Angriff erfordert, dass ein Benutzer die präparierte Seite öffnet, eine Authentifizierung ist nicht nötig. Google stuft das Problem als Medium ein; der mit den Daten gelieferte NVD-CVSS-Wert 9.6 konnte nicht mit anderen Quellen verifiziert werden.
Der Desktop-Browser Google Chrome enthält eine Speicherbeschädigung (CWE-119) in der Media-Komponente. Ein entfernter Angreifer kann durch eine manipulierte HTML-Seite möglicherweise beliebigen Code innerhalb der Browser-Sandbox ausführen. Der Angriff erfordert eine Interaktion des Benutzers, etwa den Besuch einer bösartigen Website oder das Öffnen eines Links in einer Phishing-E-Mail. Chromium stuft die Schwachstelle als High ein, und CISA SSVC bewertet die technische Auswirkung als total.
Google Chrome unter Windows enthält einen Fehler bei der Eingabevalidierung in der Komponente Views (CWE-20), der in Version 156.0.8078.73 behoben ist. Ein entfernter Angreifer kann mit einer präparierten HTML-Seite möglicherweise Code ausserhalb der Browser-Sandbox ausführen. Der Angriff setzt voraus, dass ein Benutzer die bösartige Seite besucht, und erfordert keine Authentifizierung. Chromium stuft das Problem als High ein, während NVD es mit 9.6 (Critical) bewertet.
Eine unzureichende Eingabevalidierung in der Benutzeroberfläche von Google Chrome für Android erlaubt einem entfernten Angreifer, möglicherweise beliebigen Code ausserhalb der Browser-Sandbox auszuführen. Der Angriff erfordert, dass ein Opfer eine präparierte HTML-Seite öffnet; eine Authentifizierung ist nicht nötig, eine Benutzerinteraktion dagegen schon. NVD stuft die Lücke mit CVSS 9.6 (kritisch) ein, andere Trackende bewerten sie tiefer, weshalb der Score umstritten ist.
Ein Use-after-free-Fehler in der SVG-Verarbeitung von Google Chrome für Desktop erlaubt einem Angreifer aus der Ferne, möglicherweise beliebigen Code ausserhalb der Sandbox auszuführen. Der Angreifer muss lediglich einen Benutzer dazu bringen, eine präparierte HTML-Seite aufzurufen; ein Konto oder vorgängiger Zugriff ist nicht nötig. Die offizielle Beschreibung spricht von einem Ausbruch aus der Sandbox, der üblicherweise mit einem separaten Fehler im Renderer kombiniert wird; der Chromium-Fehlerbericht sollte dies bestätigen.
Google-Chrome-Versionen vor 156.0.8078.73 enthalten eine Use-after-free-Schwachstelle in der Komponente Paint. Ein entfernter Angreifer kann unter Umständen beliebigen Code innerhalb der Browser-Sandbox ausführen, indem er einen Benutzer auf eine präparierte HTML-Seite lockt. Der Angriff setzt voraus, dass ein Benutzer die bösartige Seite besucht, und Google stuft den Chromium-Sicherheitsschweregrad als hoch ein.
Google Chrome für Desktop vor 156.0.8078.73 enthält eine Speicherbeschädigung in der Komponente FileSystem (CWE-119). Ein Angreifer aus dem Netz kann über eine präparierte HTML-Seite potenziell beliebigen Code ausserhalb der Browser-Sandbox ausführen. Das Opfer muss die manipulierte Seite lediglich öffnen; eine Authentifizierung ist nicht nötig.
Eine Speicherbeschädigung in der Komponente Turbolev von Google Chrome vor 156.0.8078.73 kann durch eine manipulierte HTML-Seite ausgelöst werden. Ein Angreifer, der einen Benutzer auf eine solche Seite lockt, könnte ohne Authentifizierung möglicherweise beliebigen Code ausserhalb der Chrome-Sandbox ausführen. Die Ausnutzung setzt voraus, dass der Benutzer die bösartige Seite öffnet.
Google Chrome vor 156.0.8078.73 enthält eine unzureichende Eingabevalidierung (CWE-20) in der SVG-Verarbeitung. Ein entfernter Angreifer kann mit einer präparierten HTML-Seite möglicherweise beliebigen Code innerhalb der Browser-Sandbox ausführen. Das Opfer muss die schädliche Seite öffnen, und Chromium stuft die Schwachstelle als hoch ein. Der CVE-Eintrag beschreibt keine Sandbox-Flucht, die für eine vollständige Kompromittierung in der Regel nötig ist.
Eine Pufferüberlauf-Schwachstelle in der Brotli-Dekompressionsbibliothek von Google, die viele Anwendungen und Laufzeitumgebungen nutzen, kann durch einen präparierten Brotli-komprimierten Datenstrom ausgelöst werden. Ein nicht authentifizierter Angreifer aus dem Netz kann Decoder-Speicher beschädigen, sensible Speicherinhalte offenlegen, einen Denial of Service verursachen oder möglicherweise beliebigen Code ausführen. Die Ausnutzung in der Praxis ist bestätigt, und CISA hat die Schwachstelle in den Katalog bekannt ausgenutzter Schwachstellen aufgenommen. Der CVSS-v4.0-Basiswert beträgt 9.2 (kritisch).
