Apple (macOS/iOS) Seite 25

Eine unangemessene Implementierung in der Permissions-Komponente von Google Chrome (vor Version 149.0.7827.53) erlaubt einem entfernten Angreifer über eine präparierte HTML-Seite UI-Spoofing. Betroffen sind neben Google Chrome auch Linux-Distributionen und Betriebssysteme, die Chromium ausliefern. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In Google Chrome vor Version 149.0.7827.53 erlaubt eine unangemessene Implementierung in den DevTools einem Angreifer, der einen Nutzer zur Installation einer bösartigen Erweiterung bewegt, potenziell sensible Informationen zu erlangen. CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: Update auf Chrome 149.0.7827.53 oder neuer.

Ein Lesezugriff ausserhalb der Grenzen in GWP-ASan von Google Chrome vor Version 149.0.7827.53 erlaubte einem lokalen Angreifer, über eine bösartige Datei potenziell sensible Informationen aus dem Prozessspeicher zu erlangen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: Auf Google Chrome 149.0.7827.53 oder neuer aktualisieren.

In Google Chrome auf iOS vor Version 149.0.7827.53 erlaubt eine unangemessene Implementierung in Chrome für iOS einem entfernten Angreifer, über eine präparierte HTML-Seite Cross-Origin-Daten abzugreifen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: auf Google Chrome 149.0.7827.53 (oder neuer) aktualisieren.

Eine unangemessene Implementierung in WebRTC von Google Chrome vor Version 149.0.7827.53 erlaubte einem entfernten Angreifer, über eine präparierte HTML- Seite Cross-Origin-Daten abzugreifen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: Auf Google Chrome 149.0.7827.53 oder neuer aktualisieren.

Eine unzureichende Durchsetzung von Richtlinien in der DevTools-Komponente von Google Chrome (vor Version 149.0.7827.53) erlaubt einem Angreifer, der einen Nutzer zur Installation einer bösartigen Erweiterung verleitet, Cross-Origin-Daten abzugreifen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: Chrome bzw. Chromium-basierte Browser auf die fehlerbereinigte Version aktualisieren.

Eine Segmentation-Violation in der Funktion gf_isom_apple_set_tag_ex von GPAC/MP4Box vor Version 26.02.0 ermöglicht es Angreifern, einen Denial-of-Service-Zustand zu verursachen. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

Eine unangemessene Implementierung in der Downloads-Funktion von Google Chrome vor Version 149.0.7827.53 erlaubte einem entfernten Angreifer, Navigationsbeschränkungen über eine präparierte HTML-Seite zu umgehen (Chromium-Sicherheitsstufe: Low). CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: Auf Chrome 149.0.7827.53 oder neuer aktualisieren.

Eine unangemessene Implementierung in Chrome for iOS (vor Version 149.0.7827.53) erlaubt einem entfernten Angreifer über eine präparierte HTML-Seite die Umgehung der Same-Origin-Policy. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

Eine unangemessene Implementierung in der Fenced-Frames-Komponente von Google Chrome vor Version 149.0.7827.53 erlaubte einem entfernten Angreifer, der den Renderer-Prozess kompromittiert hatte, über eine präparierte HTML-Seite die Site-Isolation zu umgehen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: Chrome auf Version 149.0.7827.53 oder neuer aktualisieren.

In Google Chrome vor Version 149.0.7827.53 erlaubt eine unangemessene Implementierung in der Cast-Komponente einem Angreifer im selben lokalen Netzsegment, über bösartigen Netzwerkverkehr die diskretionäre Zugriffskontrolle zu umgehen. CVSS-Basiswert: 5.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: auf Google Chrome 149.0.7827.53 oder neuer aktualisieren.

Ein Out-of-Bounds-Read in der Media-Komponente von Google Chrome vor Version 149.0.7827.53 ermöglicht einem Angreifer im lokalen Netzwerksegment, über bösartigen Netzwerkverkehr einen Speicherbereich ausserhalb der Grenzen auszulesen. CVSS-Basiswert: 4.0 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: Auf Google Chrome 149.0.7827.53 oder neuer aktualisieren.

In der Überauth-Strategie überauth_apple ermöglicht eine Authentifizierungsumgehung durch Spoofing die Übernahme von Konten über nicht validierte Claims im ID-Token. Die Funktion Überauth.Strategy.Apple.Token.payload/2 prüft die Claims unzureichend. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

Eine unangemessene Implementierung in der Extensions-Komponente von Google Chrome vor Version 149.0.7827.115 ermöglicht es einem entfernten Angreifer, der den Renderer-Prozess kompromittiert hat, über eine präparierte HTML-Seite die Site-Isolation zu umgehen. CVSS-Basiswert: 3.1 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Aktualisierung auf Google Chrome 149.0.7827.115 oder neuer.

In der Grafikbibliothek Skia von Google Chrome vor Version 149.0.7827.103 ermöglicht ein Lesezugriff ausserhalb der gültigen Grenzen (Out-of-Bounds-Read) einem entfernten Angreifer, der den Renderer-Prozess bereits kompromittiert hat, das Auslesen von Cross-Origin-Daten über eine präparierte HTML-Seite. CVSS-Basiswert: 3.1 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 149.0.7827.103 oder neuer aktualisieren.

Eine unangemessene Implementierung in der Passwortverwaltung von Google Chrome vor Version 149.0.7827.155 erlaubt einem entfernten Angreifer, der einen Nutzer zu bestimmten UI-Interaktionen verleitet, Cross-Origin-Daten über eine präparierte HTML-Seite auszulesen. CVSS-Basiswert: 3.1 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 149.0.7827.155 oder neuer aktualisieren.

In der DataTransfer-Funktion von Google Chrome auf Mac ermöglicht eine unsachgemässe Implementierung einem entfernten Angreifer, der einen Benutzer zu bestimmten UI-Gesten verleitet, das Auslesen von Cross-Origin-Daten. Betroffen sind Versionen vor 150.0.7871.47. CVSS-Basiswert: 3.1 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 150.0.7871.47 oder neuer aktualisieren.

Eine unzureichende Richtliniendurchsetzung in der Netzwerkkomponente von Google Chrome erlaubt einem entfernten Angreifer, der zuvor den Utility-Prozess kompromittiert hat, über eine präparierte HTML-Seite Cross-Origin-Daten offenzulegen. Betroffen sind Versionen vor 149.0.7827.103. CVSS-Basiswert: 3.1 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Auf Google Chrome 149.0.7827.103 oder neuer aktualisieren.

Eine unzureichende Validierung nicht vertrauenswürdiger Eingaben in der Dawn-Komponente von Google Chrome auf macOS vor Version 149.0.7827.103 ermöglicht einem entfernten Angreifer, der den Renderer-Prozess kompromittiert hat, Cross-Origin-Daten auszulesen. CVSS-Basiswert: 3.1 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Auf Google Chrome 149.0.7827.103 oder neuer aktualisieren.

Eine unzureichende Validierung nicht vertrauenswürdiger Eingaben in der New Tab Page von Google Chrome vor Version 149.0.7827.103 erlaubt einem entfernten Angreifer, der bereits den Renderer-Prozess kompromittiert hat, das Auslesen von Cross-Origin-Daten. CVSS-Basiswert: 3.1 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 149.0.7827.103 oder neuer aktualisieren.

Eine Person mit Zugriff auf einen Mac könnte in der Lage sein, das Anmeldefenster (Login Window) zu umgehen. Das Problem wurde durch verbesserte Zustandsbehandlung adressiert und ist in macOS Monterey 12.4 behoben. CVSS-Basiswert: 3.5 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Auf macOS Monterey 12.4 oder neuer aktualisieren.

Eine unzureichende Validierung nicht vertrauenswürdiger Eingaben in der WebAuthentication-Komponente von Google Chrome vor Version 149.0.7827.53 erlaubte einem entfernten Angreifer, der den Renderer-Prozess kompromittiert hatte, die Umgehung der Same-Origin-Policy. CVSS-Basiswert: 3.1 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: Chrome auf Version 149.0.7827.53 oder neuer aktualisieren.

Eine unzureichende Validierung nicht vertrauenswürdiger Eingaben in der Loader-Komponente von Google Chrome vor Version 149.0.7827.53 ermöglicht es einem entfernten Angreifer, der den Renderer-Prozess kompromittiert hat, über eine präparierte HTML-Seite die Site-Isolation zu umgehen. CVSS-Basiswert: 3.1 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: Aktualisierung auf Google Chrome 149.0.7827.53 oder neuer.

Eine unzureichende Policy-Durchsetzung im Password Manager von Google Chrome vor Version 149.0.7827.53 erlaubte einem entfernten Angreifer, der den Renderer-Prozess kompromittiert hatte, die diskretionäre Zugriffskontrolle zu umgehen. CVSS-Basiswert: 3.1 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: Auf Chrome 149.0.7827.53 oder neuer aktualisieren.