Android (ASB) Seite 19

In Google Chrome für Android vor Version 150.0.7871.47 ermöglicht eine fehlerhafte Sicherheits-UI im Document-Picture-in-Picture-Fenster einem entfernten Angreifer über eine präparierte HTML-Seite Domain-Spoofing. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Auf Chrome für Android 150.0.7871.47 oder neuer aktualisieren.

In der Input-Komponente von Google Chrome auf Android vor Version 150.0.7871.47 werden nicht vertrauenswürdige Eingaben unzureichend validiert. Ein entfernter Angreifer kann über eine präparierte HTML-Seite UI-Spoofing durchführen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 150.0.7871.47 oder neuer aktualisieren.

In der Page-Info-Komponente von Google Chrome auf Android vor Version 149.0.7827.53 besteht eine fehlerhafte Implementierung. Ein entfernter Angreifer, der bereits den Renderer-Prozess kompromittiert hat, kann dadurch Navigationsbeschränkungen umgehen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 149.0.7827.53 oder neuer aktualisieren.

In der Funktion decodeAppPacket von RtcpAppPacket.cpp besteht durch eine fehlende Bereichsprüfung ein möglicher Out-of-Bounds-Lesezugriff, der zu einer entfernten Informationsoffenlegung ohne zusätzliche Ausführungsrechte führen kann. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: die im Android Security Bulletin bereitgestellten Sicherheitsupdates einspielen.

In der Session-Komponente von Google Chrome auf Android liegt eine unsachgemässe Implementierung vor. Ein entfernter Angreifer kann darüber mittels einer präparierten HTML-Seite Navigationseinschränkungen umgehen. Betroffen sind Versionen von Google Chrome auf Android vor 151.0.7922.72. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Update auf Google Chrome für Android 151.0.7922.72 oder neuer einspielen.

In der Media-Komponente von Google Chrome unter Android vor Version 151.0.7922.72 besteht eine fehlerhafte Implementierung. Ein entfernter Angreifer kann darüber über eine präparierte HTML-Seite Navigationsbeschränkungen umgehen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

Eine Uninitialized-Use-Schwachstelle in der GPU-Komponente von Google Chrome auf Android vor Version 151.0.7922.72 erlaubt es einem entfernten Angreifer, über eine präparierte HTML-Seite herkunftsübergreifende Daten (cross-origin) auszulesen. CVSS-Basiswert: 4.3 (Mittel). Google selbst stuft die Schwere intern als „Chromium security severity: Low“ ein. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Update auf Google Chrome 151.0.7922.72 oder neuer.

In mehreren Funktionen von btm_sec.cc besteht aufgrund eines Logikfehlers im Code eine Möglichkeit, dass ein Angreifer SMS-Nachrichten abfängt. Dies kann ohne zusätzliche Berechtigungen zu einer entfernten Informationsoffenlegung führen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: die vom Hersteller bereitgestellten Sicherheitsupdates einspielen.

In Google Chrome auf Android vor Version 150.0.7871.47 erlaubt eine fehlerhafte Sicherheits-UI in der Mobile-Komponente einem entfernten Angreifer UI-Spoofing über eine präparierte HTML-Seite. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf Google Chrome 150.0.7871.47 oder neuer aktualisieren.

Eine unangemessene Implementierung in der Credential-Management-Komponente von Google Chrome auf Android vor Version 150.0.7871.47 erlaubt einem entfernten Angreifer, über eine präparierte HTML-Seite UI-Spoofing durchzuführen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf die gepatchte Chrome-Version aktualisieren.

In der Sicherheits-UI von Google Chrome auf Android ermöglicht eine fehlerhafte Oberflächendarstellung einem entfernten Angreifer über eine präparierte HTML-Seite das Vortäuschen einer falschen Domain (Domain-Spoofing). Betroffen sind Versionen vor 150.0.7871.47. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 150.0.7871.47 oder neuer aktualisieren.

Eine unangemessene Implementierung der Autofill-Funktion in Google Chrome auf Android vor Version 150.0.7871.47 ermöglicht es einem entfernten Angreifer, über eine präparierte HTML-Seite UI-Spoofing durchzuführen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Aktualisierung auf Google Chrome 150.0.7871.47 oder neuer.

Eine unzureichende Validierung nicht vertrauenswürdiger Eingaben in der Sharing-Komponente von Google Chrome auf Android vor Version 151.0.7922.72 erlaubt es einem entfernten Angreifer, über bösartigen Netzwerkverkehr Navigationsbeschränkungen zu umgehen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Update auf Google Chrome 151.0.7922.72 oder neuer.

Eine fehlerhafte Implementierung in der UI von Google Chrome unter Android vor Version 149.0.7827.53 erlaubte einem entfernten Angreifer, über eine präparierte HTML-Seite Cross-Origin-Daten auszulesen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In der GPU-Komponente von Google Chrome auf Android vor Version 149.0.7827.197 ermöglicht die Verwendung nicht initialisierten Speichers einem entfernten Angreifer, über eine präparierte HTML-Seite potenziell schützenswerte Informationen aus dem Prozessspeicher auszulesen. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf die gepatchte Chrome-Version aktualisieren.

In Google Chrome für Android vor 149.0.7827.155 erlaubt eine uninitialisierte Speichernutzung in der GPU einem entfernten Angreifer, über eine präparierte HTML-Seite Cross-Origin-Daten auszulesen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf die fehlerbereinigte Version aktualisieren.

In der WebExtensions-Komponente von Firefox für Android besteht eine Clickjacking-Schwachstelle. Die Schwachstelle wurde in Firefox 153 behoben. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Aktualisierung auf Firefox 153.

In der Funktion RtcpFbPacket::decodeRtcpFbPacket kann ein Integer-Überlauf zu einem Lesezugriff außerhalb der gültigen Speichergrenzen (out-of-bounds read) führen. Dies kann laut Quelle zu einer entfernten Informationsoffenlegung führen, ohne dass zusätzliche Ausführungsrechte erforderlich sind. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Eine unzureichende Validierung nicht vertrauenswürdiger Eingaben in Tab Group Sync von Google Chrome auf Android (vor Version 149.0.7827.53) erlaubte einem entfernten Angreifer, über manipulierte Netzwerkinhalte beliebige Skripte oder HTML einzuschleusen (UXSS). CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Auf Google Chrome 149.0.7827.53 oder neuer aktualisieren.

Eine fehlerhafte Implementierung in der CustomTabs-Komponente von Google Chrome auf Android (vor Version 150.0.7871.47) erlaubt einem entfernten Angreifer, über eine präparierte HTML-Seite die Same-Origin-Policy zu umgehen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome für Android auf die fehlerbereinigte Version aktualisieren.

In der TabSwitcher-Komponente von Google Chrome auf Android führt eine unzureichende Validierung nicht vertrauenswürdiger Eingaben dazu, dass ein entfernter Angreifer über manipulierten Netzwerkverkehr Navigationsbeschränkungen umgehen kann. Betroffen sind Versionen vor 150.0.7871.47. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Auf Google Chrome 150.0.7871.47 oder neuer aktualisieren.

In der WebView-Komponente von Google Chrome auf Android vor Version 151.0.7922.72 erfolgt eine unzureichende Validierung nicht vertrauenswürdiger Eingaben. Ein entfernter Angreifer mit kompromittiertem Renderer-Prozess kann dadurch potenziell einen Sandbox-Escape durchführen. CVSS-Basiswert: 5.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In der GPU-Komponente von Google Chrome auf Android vor Version 151.0.7922.72 ermöglichte ein Seitenkanal-Informationsleck einem entfernten Angreifer, über eine präparierte HTML-Seite ursprungsübergreifende Daten auszulesen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Update auf Google Chrome 151.0.7922.72 oder neuer.

In RtpPacket::decodePacket besteht ein möglicher Out-of-Bounds-Read infolge eines Integer-Overflows. Dies kann ohne zusätzliche Ausführungsrechte zu einer entfernten Informationsoffenlegung führen; eine Benutzerinteraktion ist erforderlich. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: verfügbare Sicherheitsupdates gemäss Android-Security-Bulletin einspielen.

Die Bibliotheken CAI Content Credentials (c2pa-web@0.7.1, c2pa-v0.80.1 und früher) sind von einer Path-Traversal-Schwachstelle betroffen (unzureichende Beschränkung eines Pfadnamens auf ein zulässiges Verzeichnis). Ein Angreifer könnte dies zu Zugriffen ausserhalb des vorgesehenen Verzeichnisses ausnutzen; eine Benutzerinteraktion ist erforderlich. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf eine vom Hersteller korrigierte Version der betroffenen Bibliothek aktualisieren.

In der WebView-Komponente von Google Chrome unter Android vor Version 151.0.7922.72 besteht eine fehlerhafte Implementierung. Ein entfernter Angreifer kann darüber über eine präparierte HTML-Seite UI-Spoofing durchführen. Laut Chromium-Einstufung liegt der Schweregrad bei Low. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In mehreren Funktionen des RTCP-Paket-Decoders besteht durch eine fehlende Bereichsprüfung ein möglicher Out-of-bounds-Read, der zu entfernter Informationsoffenlegung ohne zusätzliche Ausführungsrechte führen kann. CVSS-Basiswert: 5.7 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In der iAI Lab PDF AI App 4.21.0 für Android besteht eine Schwachstelle in der Funktion getExternalCacheDir der Komponente chatpdf.pro, die durch Manipulation eines Arguments ausgelöst werden kann. CVSS-Basiswert: 4.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In der Funktion ImsMediaBitReader::ReadByteBuffer besteht aufgrund einer fehlenden Grenzenprüfung ein möglicher Out-of-bounds-Read, der ohne zusätzliche Ausführungsrechte zu einer entfernten Informationsoffenlegung führen kann. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In RtcpHeader::decodeRtcpHeader besteht wegen einer fehlenden Bereichsprüfung ein möglicher Out-of-Bounds-Read. Dies kann zu einer entfernten Informationsoffenlegung führen, ohne dass zusätzliche Ausführungsrechte erforderlich sind; eine Benutzerinteraktion ist zur Ausnutzung nötig. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In der UI-Komponente von Google Chrome auf Android vor Version 151.0.7922.72 erlaubt eine fehlerhafte Sicherheits-UI einem entfernten Angreifer, über eine präparierte HTML-Seite Domain-Spoofing durchzuführen. Chromium stuft die Schwere intern als „Low“ ein. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet.

In der Bluetooth-Komponente von Google Chrome auf Android vor Version 151.0.7922.72 besteht eine Use-after-free-Schwachstelle. Ein entfernter Angreifer, der den Renderer-Prozess kompromittiert hat, kann darüber möglicherweise einen Sandbox-Escape durchführen. CVSS-Basiswert: 5.0 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Update auf Google Chrome 151.0.7922.72 oder neuer.

In Google Chrome auf Android vor Version 149.0.7827.53 ermöglichte eine unangemessene Implementierung von WebAPKs einem entfernten Angreifer über eine präparierte WebAPK ein Domain-Spoofing. Chromium stuft den Schweregrad als mittel (Medium) ein. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf Google Chrome 149.0.7827.53 oder neuer aktualisieren.

In der Android-App ZomboDroid Meme Generator 4.6830 wurde laut NVD eine Sicherheitslücke in der Funktion t5.l.c der Komponente com.zombodroid.MemeGenerator festgestellt. Die Quellbeschreibung bricht an dieser Stelle ab, weitere Details zur Angriffsart liegen nicht vor. CVSS-Basiswert: 5.3 (Mittel). Eine EPSS-Angabe liegt nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

In der UI-Komponente von Google Chrome auf Android vor Version 151.0.7922.72 erlaubt eine unpassende Implementierung einem entfernten Angreifer, der einen Nutzer zu bestimmten UI-Gesten verleitet, Cross-Origin-Daten auszulesen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor, ebenso keine EPSS-Angabe. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet.

Eine unangemessene Implementierung in der Extensions-Komponente von Google Chrome für Android vor Version 150.0.7871.47 erlaubte einem Angreifer, der einen Benutzer zur Installation einer bösartigen Erweiterung verleitete, die Same-Origin-Policy zu umgehen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 150.0.7871.47 oder neuer aktualisieren.

Eine Race Condition in der Geolocation-Komponente von Google Chrome für Android vor Version 149.0.7827.53 erlaubte einem entfernten Angreifer, über eine präparierte HTML-Seite Cross-Origin-Daten abzugreifen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 149.0.7827.53 oder neuer aktualisieren.

In der Tab-Komponente von Google Chrome auf Android vor Version 151.0.7922.72 besteht eine Type-Confusion-Schwachstelle. Ein entfernter Angreifer, der den Renderer-Prozess bereits kompromittiert hat, kann dadurch potenziell einen Sandbox-Ausbruch durchführen. CVSS-Basiswert: 5.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

Eine fehlerhafte Implementierung in der Android-Autofill-Komponente von Google Chrome auf Android erlaubt einem entfernten Angreifer über eine präparierte HTML-Seite die Umgehung der Same-Origin-Policy. Betroffen sind Versionen vor Chrome 149.0.7827.53. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf eine fehlerbereinigte Chrome-Version aktualisieren.

Eine unangemessene Implementierung in Cronet von Google Chrome unter Android vor Version 149.0.7827.53 erlaubte einem entfernten Angreifer, über einen präparierten Domainnamen ein Domain-Spoofing durchzuführen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Auf Google Chrome 149.0.7827.53 oder neuer aktualisieren.

In der GeniexWebView-Komponente der Transsion AI Assistant Lifestyle-Anwendung (com.transsion.aiassistantlifestyle) für Android wurde eine Cross-Site-Scripting-Schwachstelle (XSS) entdeckt. Alle Versionen sind betroffen; ein entfernter Angreifer kann darüber beliebigen Code ausführen. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Die Android-App SirenGPS 2.19.44 ist laut NVD durch eine unzureichende Zugriffskontrolle (Incorrect Access Control) verwundbar. Ein authentifizierter Angreifer kann Nutzer-ID-Parameter manipulieren, um Autorisierungsprüfungen zu umgehen und sich unautorisierten Zugriff zu verschaffen. Ein CVSS-Basiswert liegt für diesen Eintrag nicht vor, die Einstufung erfolgt daher mit dem neutralen Schweregrad Mittel.

Eine fehlerhafte Sicherheits-UI in der Extensions-Komponente von Google Chrome auf Android vor Version 150.0.7871.47 erlaubt einem entfernten Angreifer, der einen Nutzer zu bestimmten UI-Gesten verleitet, UI-Spoofing durchzuführen. CVSS-Basiswert: 4.2 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 150.0.7871.47 oder neuer aktualisieren.

Im PreviewTab von Google Chrome auf Android ermöglicht eine unsachgemässe Implementierung einem entfernten Angreifer, der einen Benutzer zu bestimmten UI-Gesten verleitet, das Vortäuschen einer falschen Oberfläche (UI-Spoofing). Betroffen sind Versionen vor 150.0.7871.47. CVSS-Basiswert: 4.2 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 150.0.7871.47 oder neuer aktualisieren.

Eine unzureichende Policy-Durchsetzung in der WebView-Komponente von Google Chrome auf Android erlaubt einem entfernten Angreifer über eine präparierte HTML-Seite das Auslesen von Cross-Origin-Daten. Betroffen sind Versionen vor Chrome 149.0.7827.53. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf eine fehlerbereinigte Chrome-Version aktualisieren.

Eine unzureichende Durchsetzung von Richtlinien (Insufficient policy enforcement) in der PreviewTab-Komponente von Google Chrome auf Android vor Version 149.0.7827.53 erlaubt einem entfernten Angreifer, die Same-Origin-Policy zu umgehen, sofern ein Nutzer zu bestimmten UI-Gesten verleitet wird. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Update auf Google Chrome 149.0.7827.53 oder neuer.

Im Contacts Provider besteht durch eine SQL-Injection die Möglichkeit, auf die Kontakte-Datenbank zuzugreifen. Dies kann ohne zusätzliche Ausführungsrechte zu einem lokalen Abfluss vertraulicher Informationen führen. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: verfügbare Sicherheitsupdates der Hersteller einspielen.

In der ANGLE-Komponente von Google Chrome unter Android vor Version 151.0.7922.72 besteht eine Use-after-free-Schwachstelle. Ein entfernter Angreifer, der bereits den Renderer-Prozess kompromittiert hat, kann darüber möglicherweise einen Sandbox-Escape durchführen. CVSS-Basiswert: 5.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In der Autofill-Komponente von Google Chrome auf Android besteht vor Version 151.0.7922.72 eine fehlerhafte Implementierung. Ein entfernter Angreifer kann darüber über eine präparierte HTML-Seite quellenübergreifende (cross-origin) Daten auslesen. Chromium stuft den Schweregrad intern als Medium ein. CVSS-Basiswert und EPSS-Wert liegen in den Quelldaten nicht vor. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In der QUIC-Implementierung von Google Chrome auf Android vor Version 151.0.7922.72 liegt eine unsachgemässe Implementierung vor. Ein entfernter Angreifer kann darüber über eine präparierte HTML-Seite ursprungsübergreifende Daten abgreifen. Chromium stuft den Sicherheitsschweregrad intern als Medium ein. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Update auf Google Chrome 151.0.7922.72 oder neuer.