Alle neu veröffentlichten Sicherheitslücken (CVE), laufend aus der NVD, mit aktiv ausgenutzten Lücken der CISA, der Ausnutzungswahrscheinlichkeit (EPSS) und öffentlichen Exploits – jede einzeln recherchiert: Was ist betroffen, was hilft, was ist zu tun.
Ein Logikfehler in der Einstellungskomponente für Geräteadministrator-Apps (DeviceAdminAppsPreferenceController, updateState) von Android ermöglicht eine Umgehung von Berechtigungen. Ein lokaler Angreifer mit niedrigen Rechten, zum Beispiel eine bösartige App, die bereits auf dem Gerät läuft, kann seine Rechte auf eine höhere Stufe erweitern. Es ist keine Benutzerinteraktion erforderlich, und es werden keine zusätzlichen Ausführungsrechte benötigt.
Ein Logikfehler im Einstellungs-Controller ApplicationActionButtonsPreferenceController von Android Automotive OS ermöglicht eine Umgehung von Berechtigungen. Ein lokaler Angreifer mit einem bestehenden Konto mit niedrigen Rechten, einer App oder einem Fussabdruck auf dem Gerät könnte dadurch seine Rechte auf dem Gerät erweitern. Es ist keine Benutzerinteraktion erforderlich, und laut Google setzt die Bewertung voraus, dass die Plattform-Schutzmechanismen deaktiviert oder umgangen sind.
Eine Umgehung der Berechtigungsprüfung aufgrund fehlerhafter Eingabevalidierung in CredentialStorageActivity.java erlaubt einem lokalen Angreifer, auf betroffenen Android Automotive OS Geräten seine Rechte zu erweitern. Für die Ausnutzung sind keine zusätzlichen Ausführungsrechte und keine Benutzerinteraktion nötig, der Angreifer benötigt jedoch Code, der auf dem Gerät läuft, zum Beispiel eine schädliche App. Die Schwachstelle wird mit High und einem CVSS-3.1-Wert von 7.8 eingestuft.
Ein Logikfehler an mehreren Stellen der Systemkomponente von Android ermöglicht die Umgehung von Berechtigungen. Ein lokaler Angreifer mit niedrigen Rechten, zum Beispiel eine installierte böswillige App, kann seine Rechte auf eine höhere Stufe ausweiten. Für die Ausnutzung ist keine Benutzerinteraktion nötig, und die Schwachstelle ist nicht aus dem Internet remote ausnutzbar.
Google Chrome vor 154.0.8037.97 enthält einen Pufferüberlauf (CWE-122) in der Komponente WebRTC, die für Echtzeit-Audio, Video und Peer-to-Peer-Verbindungen zuständig ist. Ein entfernter Angreifer kann mit einer präparierten HTML-Seite beliebigen Code innerhalb der Browser-Sandbox ausführen. Der Angriff setzt voraus, dass ein Benutzer die manipulierte Seite öffnet; Berechtigungen sind nicht nötig. Der NVD-Basiswert beträgt 8.8 (hoch).
Eine Use-after-free-Schwachstelle in der Funktion FedCM (Federated Credential Management) von Google Chrome für Desktop ermöglicht einem entfernten Angreifer, beliebigen Code ausserhalb der Browser-Sandbox auszuführen. Der Angreifer muss einen Benutzer dazu bringen, eine manipulierte HTML-Seite aufzurufen, und der Benutzer muss damit interagieren. Google stuft die Schwachstelle als hoch ein; der CVSS-3.1-Wert beträgt 9.6 (kritisch).
Google Chrome Desktop-Versionen vor 154.0.8037.97 enthalten einen Out-of-Bounds-Write in der WebGL-Komponente (CVE-2026-103628, CWE-787, CVSS 9.6 Critical). Ein entfernter Angreifer kann durch eine präparierte HTML-Seite beliebigen Code ausserhalb der Browser-Sandbox ausführen. Eine Anmeldung ist nicht nötig, das Opfer muss die Seite jedoch öffnen.
Google Chrome unter Windows enthält eine fehlerhafte Berechtigungsprüfung (CWE-863) in der Komponente FileSystem. Ein entfernter Angreifer, der einen Benutzer auf eine präparierte HTML-Seite lockt, kann unter Umständen beliebigen Code ausserhalb der Browser-Sandbox ausführen. Der Angriff erfordert eine Interaktion des Benutzers, typischerweise durch Social Engineering oder Phishing.
Chrome-Versionen vor 154.0.8037.97 enthalten eine Type-Confusion-Schwachstelle in der JavaScript-Engine V8 (CVE-2026-103625, CVSS 8.8). Ein Angreifer kann durch eine präparierte HTML-Seite beliebigen Code innerhalb der Browser-Sandbox ausführen. Dafür muss der Benutzer die Seite besuchen; für eine vollständige Kompromittierung ist zusätzlich ein Ausbruch aus der Sandbox nötig.
Google Chrome unter Windows enthält eine Use-after-Free-Schwachstelle (CWE-416) in der Funktion Contextual Tasks. Ein Angreifer, der bereits den Renderer-Prozess kompromittiert hat, kann mit einer präparierten HTML-Seite möglicherweise beliebigen Code ausserhalb der Browser-Sandbox ausführen. Der Angriff erfordert, dass ein Benutzer die Seite besucht; es handelt sich daher um ein Risiko in einer zweiten Stufe, das mit einer Schwachstelle im Renderer verkettet werden muss.
Ein Use-after-free-Fehler (CWE-416) in der Komponente MediaStream von Google Chrome erlaubt einem Angreifer aus der Ferne, innerhalb der Browser-Sandbox beliebigen Code auszuführen. Der Angreifer muss lediglich einen Benutzer dazu bringen, eine präparierte HTML-Seite zu öffnen, etwa über einen Link in einer E-Mail oder eine Werbung. Ein Ausbruch aus der Sandbox, um die volle Kontrolle über das System zu erlangen, würde einen separaten Exploit erfordern, der in den Quellen nicht behandelt wird.
Ein Use-after-free-Fehler (CWE-416) in der SVG-Verarbeitung von Google Chrome vor 154.0.8037.97 erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Für den Angriff genügt es, dass ein Benutzer eine präparierte HTML-Seite lädt, etwa über einen Phishing-Link oder eine kompromittierte Website. Eine vollständige Übernahme des Systems würde in der Regel eine weitere Sandbox-Flucht erfordern, die in den Quellen nicht bestätigt ist.
Ein Schreibzugriff ausserhalb des Speicherbereichs in der JavaScript- und WebAssembly-Engine V8 von Google Chrome vor 153.0.8010.36 kann durch eine manipulierte HTML-Seite ausgeloest werden. Ein entfernter Angreifer kann dies nutzen, um beliebigen Code innerhalb der Sandbox des Browsers auszufuehren. Das Opfer muss die manipulierte Seite aufrufen, und Google bestaetigt, dass ein Exploit in freier Wildbahn existiert.
Ein Integer-Überlauf im Android Framework, der an mehreren Stellen auftritt, kann es einem Angreifer erlauben, lokal Code auszuführen und seine Rechte auszuweiten. Der Angreifer benötigt keine zusätzlichen Ausführungsrechte und keine Benutzerinteraktion, braucht aber einen Zugriff auf das Gerät, typischerweise über eine schädliche App. Google meldet Hinweise auf eine begrenzte, gezielte Ausnutzung, und die CISA führt die Schwachstelle als aktiv ausgenutzt.
