Neue Schwachstellen – verständlich aufbereitet

Recherche und Übersetzung laufen – in Kürze hier.

Google Chrome: Fehlerhafte Autorisierung in Input umgeht Web-Origin-Richtlinie

Google Chrome für Desktop vor Version 156.0.8078.79 enthält eine fehlerhafte Autorisierung in der Komponente Input. Ein entfernter Angreifer kann die Web-Origin-Richtlinie umgehen, indem er einen Benutzer zu einer präparierten HTML-Seite lockt, wofür Social Engineering nötig ist. Der offizielle CVE-Eintrag stuft die Auswirkung als hoch ein (CVSS 8.8), die Chrome-Versionshinweise beschreiben die Schwachstelle jedoch als Use-after-free, weshalb die Beschreibung gegen NVD und die Herstellermeldung geprüft werden sollte.

Google · Chrome

Google Chrome: Fehlerhafte Autorisierung in FileSystem

Eine Schwachstelle in der Komponente FileSystem von Google Chrome vor 156.0.8078.79 kann einem entfernten Angreifer ermöglichen, potenziell beliebigen Code auszuführen. Die CVE-Daten beschreiben eine fehlerhafte Autorisierung (CWE-863), die eine Codeausführung ausserhalb der Sandbox ermöglichen könnte, und setzen voraus, dass ein Benutzer nach Social Engineering eine präparierte HTML-Seite öffnet. Die Quellen widersprechen sich bei Beschreibung, CWE und CVSS-Wert (einige Tracker nennen Speicherbeschädigung, CWE-119, Codeausführung innerhalb der Sandbox und CVSS 6.3), weshalb die genaue Auswirkung im NVD-Eintrag überprüft werden muss.

Google · Chrome

Google Chrome: Unzureichende Eingabevalidierung in Network

Google Chrome vor 156.0.8078.79 enthält eine unzureichende Eingabevalidierung in der Netzwerkkomponente Network (CVE-2026-76029, von Chromium als High eingestuft). Gemäss CVE-Text kann ein entfernter Angreifer durch präparierten Netzwerkverkehr beliebigen Code innerhalb der Browser-Sandbox ausführen. Andere Quellen beschreiben einen Speicherfehler, der durch eine präparierte HTML-Seite ausgelöst wird; die genauen Voraussetzungen und der CVSS-Wert von 8.8 müssen daher im NVD-Eintrag überprüft werden.

Google · Chrome

Google Chrome: Fehlerhafte Berechtigungsprüfung im FileSystem erlaubt Codeausführung

Google Chrome vor 156.0.8078.79 enthält im Component FileSystem eine fehlerhafte Berechtigungsprüfung (CWE-863 laut CVE-Eintrag). Ein entfernter Angreifer kann einen Benutzer mit Social Engineering dazu bringen, eine präparierte HTML-Seite zu öffnen, und so beliebigen Code ausserhalb der Sandbox ausführen. Der CVE-Eintrag stuft die Schwachstelle als hoch ein (CVSS 8.8), andere Quellen weichen jedoch bei Fehlerklasse und Bewertung ab; das Update des Herstellers sollte unabhängig davon eingespielt werden.

Google · Chrome

Google Chrome

Recherche und Übersetzung laufen – in Kürze hier.

Google Chrome: Fehlerhafte Origin-Validierung in Autofill

Google Chrome vor 156.0.8078.79 enthält in der Funktion Autofill eine fehlerhafte Origin-Validierung (CWE-346, CVSS 8.8 gemäss den gelieferten Daten). Ein entfernter Angreifer kann mit einer präparierten HTML-Seite die Web-Origin-Richtlinie umgehen, wobei das Opfer diese Seite öffnen muss. Sekundärquellen beschreiben die Schwachstelle als Speicherkorruption (CWE-119, VulDB CVSS 6.3), und der NVD-Eintrag war noch ausstehend, weshalb die Angaben überprüft werden sollten.

Google · Chrome

Google Chrome: Unzureichende Berechtigungsprüfung in FileSystem erlaubt Codeausführung

Google Chrome vor 156.0.8078.79 enthält eine fehlerhafte Berechtigungsprüfung in der Komponente FileSystem. Ein entfernter Angreifer kann mittels Social Engineering und einer manipulierten HTML-Seite beliebigen Code ausserhalb der Browser-Sandbox ausführen. Der Angriff erfordert, dass das Opfer die schädliche Seite besucht.

Google · Chrome

Google Chrome: Use-after-free in MediaStream

Google Chrome enthält in seiner Komponente MediaStream, die Audio- und Video-Datenströme für Webseiten verarbeitet, eine Use-after-free-Schwachstelle. Ein entfernter Angreifer kann diese ausnutzen, indem er einen Benutzer auf eine präparierte HTML-Seite lockt, wodurch unter Umständen beliebiger Code innerhalb der Browser-Sandbox ausgeführt werden kann. Für die Ausnutzung ist eine Interaktion des Benutzers nötig, und Chromium stuft die Schwachstelle als kritisch ein. Zum Zeitpunkt der Recherche sind weder eine Ausnutzung in freier Wildbahn noch ein öffentlicher Proof of Concept bekannt.

Google · Chrome

Google Chrome

Recherche und Übersetzung laufen – in Kürze hier.

Google Chrome: Nicht initialisierte Ressource in Skia ermöglicht Speicherauslesen

Google-Chrome-Versionen vor 156.0.8078.79 enthalten in der Grafikbibliothek Skia eine Schwachstelle durch eine nicht initialisierte Ressource. Ein Angreifer, der bereits den Renderer-Prozess kompromittiert hat, kann mit einer manipulierten HTML-Seite Speicher ausserhalb der Sandbox auslesen. Der Angriff erfordert, dass ein Benutzer die Seite besucht; der Hersteller stuft den Chromium-Sicherheitsschweregrad als hoch ein. Der CVE-Eintrag und die Recherchenotizen widersprechen sich bezüglich des Schwachstellentyps (CWE-908 versus Use-after-free), weshalb der NVD-Eintrag geprüft werden sollte.

Google · Chrome

Google Chrome: Fehlerhafte Referenzauflösung in CacheStorage

Eine Schwachstelle in der Komponente CacheStorage von Google Chrome erlaubt einem Angreifer aus dem Netz, über eine präparierte HTML-Seite vertrauliche Informationen zu erlangen. Laut CVE-Eintrag muss der Angreifer zuvor den Renderer-Prozess kompromittiert haben. Die Bewertung lautet CVSS 8.8 (NVD-Status: Modified), und der Schweregrad laut Chromium ist Hoch.

Google · Chrome

Google Chrome: Fehlerhafte Berechtigungsprüfung in Blink erlaubt Umgehung der Origin-Policy

Google Chrome vor 156.0.8078.79 enthält eine fehlerhafte Berechtigungsprüfung in der Rendering-Engine Blink. Ein entfernter Angreifer kann die Web-Origin-Policy umgehen, indem er einen Benutzer auf eine präparierte HTML-Seite lockt. Der Angriff erfordert keine Anmeldung, aber der Benutzer muss die Seite öffnen. Der offizielle CVE-Eintrag stuft die Schwachstelle als hoch ein. Die Recherchenotizen weisen darauf hin, dass öffentliche Quellen diese CVE-ID anders beschreiben (Use-after-Free, CWE-416), weshalb die Beschreibung vor einem Kundenbericht gegen NVD geprüft werden sollte.

Google · Chrome

Google Chrome: Use-after-free im Editing-Komponente

Ein Use-after-free-Fehler in der Editing-Komponente von Google Chrome vor 156.0.8078.79 erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Chrome-Sandbox auszuführen. Der Angreifer benötigt, dass ein Opfer eine präparierte HTML-Seite öffnet, weshalb jeder Benutzer, der im Web surft, betroffen sein kann. Der CVE-Eintrag nennt CWE-416 (Use-after-free), doch ein Aggregator beschreibt die Schwachstelle als Integer-Überlauf (CWE-190); der Schwachstellentyp sollte deshalb in der NVD überprüft werden.

Google · Chrome

Google Chrome: Use-after-free im DOM erlaubt Codeausführung in Sandbox

Ein Use-after-free-Fehler in der DOM-Komponente der Chrome-Desktopversionen vor 156.0.8078.79 kann von einem Angreifer aus der Ferne ausgenutzt werden. Öffnet ein Benutzer eine präparierte HTML-Seite, kann der Angreifer beliebigen Code innerhalb der Browser-Sandbox ausführen. Für die Ausnutzung muss das Opfer die Seite besuchen; der für eine vollständige Kompromittierung nötige Sandbox-Escape wird nicht beschrieben.

Google · Chrome

Google Chrome: Fehlerhafte Referenzauflösung in Quota führt zu Sandbox-Ausbruch

Google Chrome enthält in seiner Komponente Quota eine fehlerhafte Referenzauflösung (CWE-706). Gemäss offiziellem CVE-Eintrag kann ein entfernter Angreifer, der den Renderer-Prozess bereits kompromittiert hat, über eine präparierte HTML-Seite möglicherweise beliebigen Code ausserhalb der Sandbox ausführen. Für einen Angriff muss ein Benutzer die Seite aufrufen und zusätzlich ein Renderer-Prozess kompromittiert werden, es handelt sich also um einen verketteten Angriff. Drittquellen beschreiben den Fehler als Use-after-Free innerhalb der Sandbox, weshalb der offizielle Eintrag überprüft werden sollte.

Google · Chrome

Google Chrome: Falsche Referenzauflösung in Quota

Eine Schwachstelle in der Komponente Quota von Google Chrome führt zu einer falschen Referenzauflösung. Ein entfernter Angreifer, der den Renderer-Prozess bereits kompromittiert hat, kann über präparierten Netzwerkverkehr beliebigen Code ausserhalb der Sandbox ausführen. Der Angriff setzt eine zweite, verkettete Schwachstelle zur Kompromittierung des Renderer-Prozesses voraus, und der Eintrag ist als geändert markiert, weshalb der endgültige NVD-Text geprüft werden sollte.

Google · Chrome

Google Chrome Dawn: Use after free (Speicherbeschädigung)

Google Chrome Versionen vor 156.0.8078.79 enthalten eine Schwachstelle in Dawn, der WebGPU-Implementierung in Chromium. Gemäss CVE-Beschreibung kann ein entfernter Angreifer über eine präparierte HTML-Seite möglicherweise beliebigen Code ausserhalb der Sandbox ausführen, wobei eine Interaktion des Benutzers erforderlich ist. Die Quellen widersprechen sich bezüglich der Fehlerklasse (Use after free laut CVE-Beschreibung, Speicherbeschädigung laut Release-Notes von Google) und ob die Sandbox umgangen wird; dies ist ungeklärt.

Google · Chrome

Google Chrome: Use-after-free in GarbageCollection ermöglicht Codeausführung

Eine Use-after-free-Schwachstelle in der Komponente GarbageCollection von Google Chrome vor 156.0.8078.79 erlaubt einem entfernten Angreifer die Ausführung von beliebigem Code innerhalb der Sandbox des Browsers. Der Angriff setzt voraus, dass ein Opfer eine präparierte HTML-Seite lädt, zum Beispiel über eine bösartige Website, einen Phishing-Link oder eine bösartige Werbung. Der CVSS-Basiswert beträgt 9.6 (kritisch), und Google stuft den Schweregrad laut Chromium als hoch ein.

Google · Chrome

Google Chrome: Out-of-bounds Write in der JavaScript-Engine V8

Ein Speicherfehler (Out-of-bounds Write) in der JavaScript-Engine V8 von Google Chrome erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Der Angreifer benötigt dazu einen Benutzer, der eine präparierte HTML-Seite öffnet, etwa über einen Phishing-Link, eine schädliche Werbung oder eine kompromittierte Website. Die Codeausführung beschränkt sich laut Beschreibung auf die Sandbox; eine vollständige Kompromittierung des Systems wird nicht behauptet.

Google · Chrome

Google Chrome: Unzureichende Eingabevalidierung in Skia-Grafikengine

Unzureichende Eingabevalidierung in Skia, der 2D-Grafikengine von Google Chrome Desktop, wird in den Chrome-Release-Notes als hoher Schweregrad aufgeführt. Die mitgelieferte Beschreibung nennt einen Buffer Overflow, der eine kompromittierte Renderer-Prozess voraussetzt. Die Release-Notes und die Recherche-Notizen bestätigen dies jedoch nicht, daher müssen Schwachstellentyp und Voraussetzungen auf NVD geprüft werden. Gemäss der Beschreibung könnte ein Angreifer mit einer manipulierten HTML-Seite möglicherweise Code ausserhalb der Sandbox ausführen. Der CVSS-Wert liegt bei 9.6 (kritisch), der Eintrag sollte aber vor einer Priorisierung überprüft werden.

Google · Chrome

Google Chrome: Use after free in Frames ermöglicht Codeausführung in Sandbox

Google-Chrome-Versionen vor 156.0.8078.79 enthalten einen Use-after-free-Fehler in der Komponente Frames. Ein entfernter Angreifer kann über eine manipulierte HTML-Seite beliebigen Code innerhalb der Browser-Sandbox ausführen. Für den Angriff muss ein Benutzer die bösartige Seite besuchen, etwa über einen Link in einer Phishing-E-Mail.

Google · Chrome

Recherche und Übersetzung laufen – in Kürze hier.

Recherche und Übersetzung laufen – in Kürze hier.

Apple

Recherche und Übersetzung laufen – in Kürze hier.