Google ChromeOS/Chrome Seite 31

Eine fehlerhafte Implementierung in der WebGL-Komponente von Google Chrome vor Version 150.0.7871.115 erlaubte einem entfernten Angreifer über eine präparierte HTML-Seite das Einschleusen beliebiger Skripte oder HTML (Universal Cross-Site-Scripting, UXSS). CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: auf Chrome 150.0.7871.115 oder neuer aktualisieren.

Eine fehlerhafte Implementierung im Bereich Forms in Google Chrome vor 150.0.7871.115 erlaubte einem entfernten Angreifer über eine präparierte HTML-Seite das Einschleusen beliebiger Skripte oder HTML (UXSS). CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Chrome aktualisieren.

In Google Chrome vor Version 149.0.7827.197 erlaubt eine unangemessene Implementierung in der Autofill-Komponente einem entfernten Angreifer, der den Renderer-Prozess kompromittiert hat, über eine präparierte HTML-Seite Cross-Origin-Daten abzugreifen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: auf Google Chrome 149.0.7827.197 (oder neuer) aktualisieren.

Eine fehlende Berechtigungsprüfung in der AndroidManifest.xml ermöglicht einen dauerhaften Denial of Service. Der Angriff ist lokal und ohne zusätzliche Ausführungsrechte möglich. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: das bereitgestellte Herstellerupdate einspielen.

Eine unangemessene Implementierung in der Extensions-Komponente von Google Chrome vor Version 149.0.7827.155 ermöglicht einem Angreifer, der einen Benutzer zur Installation einer bösartigen Erweiterung überredet hat, die Same-Origin-Policy über eine präparierte Erweiterung zu umgehen. CVSS-Basiswert: 4.2 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Auf Google Chrome 149.0.7827.155 oder neuer aktualisieren.

Eine fehlerhafte Sicherheits-Benutzeroberfläche in der Views-Komponente von Google Chrome vor Version 150.0.7871.47 erlaubte einem entfernten Angreifer, der einen Nutzer zu bestimmten UI-Gesten verleiten konnte, über eine präparierte HTML-Seite ein UI-Spoofing. CVSS-Basiswert: 4.2 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Chrome auf Version 150.0.7871.47 oder neuer aktualisieren.

Eine unangemessene Implementierung in der Extensions-Komponente von Google Chrome vor Version 149.0.7827.155 erlaubt einem entfernten Angreifer, der bereits den Renderer-Prozess kompromittiert hat, die Site-Isolation zu umgehen. CVSS-Basiswert: 4.2 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Chrome auf Version 149.0.7827.155 oder neuer aktualisieren.

Eine unzureichende Datenvalidierung in Google Chrome für iOS (vor Version 150.0.7871.47) erlaubt einem lokalen Angreifer mit physischem Zugriff, potenziell sensible Informationen aus dem Prozessspeicher auszulesen. CVSS-Basiswert: 4.6 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Chrome für iOS auf die fehlerbereinigte Version aktualisieren.

Eine unangemessene Implementierung in der Views-Komponente von Google Chrome auf Linux vor Version 149.0.7827.155 erlaubt einem entfernten Angreifer, der bereits den Renderer-Prozess kompromittiert hat, beliebige Skripte oder HTML einzuschleusen (Universal XSS). CVSS-Basiswert: 4.7 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: auf die gepatchte Chrome-Version aktualisieren.

Eine unzureichende Richtliniendurchsetzung in den DevTools von Google Chrome auf Android (vor Version 150.0.7871.47) erlaubte einem lokalen Angreifer, Navigationsbeschränkungen über eine bösartige Datei zu umgehen. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: auf Chrome-Version 150.0.7871.47 oder neuer aktualisieren.

Eine fehlerhafte Implementierung in den DevTools von Google Chrome vor Version 150.0.7871.47 erlaubte einem Angreifer, der einen Nutzer zur Installation einer bösartigen Erweiterung verleiten konnte, UI-Spoofing über eine präparierte Chrome-Erweiterung. Als betroffen ausgewiesen sind Google ChromeOS/Chrome, Apple (macOS/iOS), Amazon Linux (ALAS), Oracle Linux (ELSA), Rocky Linux und Microsoft Windows. CVSS-Basiswert: 4.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: auf eine korrigierte Chrome-Version aktualisieren.

Ein Integer-Überlauf in der Extensions-API von Google Chrome vor Version 150.0.7871.115 erlaubt einem Angreifer, der einen Nutzer zur Installation einer bösartigen Erweiterung verleitet, ein Lesen ausserhalb der Speichergrenzen (Out-of-bounds Read). CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Chrome auf Version 150.0.7871.115 oder neuer aktualisieren.

In der Methode PackageInstaller.Session#transfer des Android-Frameworks ermöglicht ein Logikfehler eine Speichererschöpfung (memory exhaustion) und damit einen Denial-of-Service-Zustand. Der Angriff ist lokal möglich. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

An mehreren Stellen besteht die Möglichkeit eines dauerhaften Denial of Service durch Ressourcenerschöpfung. Dies könnte zu einem lokalen Denial of Service ohne zusätzliche Ausführungsrechte führen; eine Nutzerinteraktion ist erforderlich. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Die bereitgestellten Sicherheitsupdates einspielen.

Eine Use-after-free-Schwachstelle in der Chromecast-Komponente von Google Chrome vor Version 150.0.7871.47 erlaubt einem Angreifer im lokalen Netzwerksegment, potenziell sensible Informationen aus dem Prozessspeicher auszulesen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Update auf Google Chrome 150.0.7871.47 oder neuer.

Eine Type Confusion in der Bluetooth-Komponente von Google Chrome für Windows vor Version 150.0.7871.47 erlaubte einem Angreifer im lokalen Netzwerksegment, potenziell sensible Informationen aus dem Prozessspeicher auszulesen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Chrome auf Version 150.0.7871.47 oder neuer aktualisieren.

Ein Use-after-free in der Payments-Komponente von Google Chrome auf Android vor Version 149.0.7827.201 erlaubte einem lokalen Angreifer mit physischem Zugriff auf das Gerät, potenziell Heap-Korruption auszunutzen. CVSS-Basiswert: 6.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Chrome auf Version 149.0.7827.201 oder höher aktualisieren.

Im MmsSmsProvider (MmsSmsProvider.java) fehlt eine Berechtigungsprüfung, wodurch sensible Informationen ausgelesen werden können. Dies ermöglicht eine lokale Informationspreisgabe ohne zusätzliche Ausführungsrechte. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: die bereitgestellten Sicherheitsupdates der betroffenen Plattform einspielen.

Eine fehlerhafte Implementierung im Bereich Passwörter in Google Chrome auf dem Mac vor 150.0.7871.47 erlaubte einem lokalen Angreifer über eine bösartige Datei, potenziell sensible Informationen aus dem Prozessspeicher zu erlangen. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Chrome aktualisieren.

Eine unzureichende Zertifikatsprüfung im Prisma Access Agent für Android und Chrome OS ermöglicht einem Angreifer einen Man-in-the-Middle-Angriff, um VPN-Datenverkehr abzufangen. CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Es bestehen keine Hinweise auf eine aktive Ausnutzung oder einen Einsatz in Ransomware-Kampagnen. Empfohlene Massnahme: den Hinweisen von Palo Alto Networks folgen.

In mehreren Funktionen von ubsan_throwing_runtime.cpp (Android) kann ein Integer-Überlauf zu einem persistenten Denial-of-Service führen. Die Schwachstelle ermöglicht einen Remote-Angriff ohne zusätzliche Ausführungsrechte. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In mehreren Funktionen von ubsan_throwing_runtime.cpp (Android) kann ein Integer-Überlauf zu einem Systemabsturz führen. Die Schwachstelle ermöglicht einen Remote-Denial-of-Service ohne zusätzliche Ausführungsrechte. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In mehreren Funktionen von ubsan_throwing_runtime.cpp (Android) kann ein Integer-Überlauf zu einem UBSan-Fehler führen. Die Schwachstelle ermöglicht einen Remote-Denial-of-Service ohne zusätzliche Ausführungsrechte. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In mehreren Funktionen von ubsan_throwing_runtime.cpp (Android) kann ein Integer-Überlauf einen Systemabsturz auslösen. Die Schwachstelle ermöglicht einen Remote-Denial-of-Service ohne zusätzliche Ausführungsrechte. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In mehreren Funktionen von ubsan_throwing_runtime.cpp kann ein Integer-Overflow einen Absturz verursachen. Ein entfernter Angreifer kann dadurch ohne zusätzliche Ausführungsrechte einen Denial-of-Service auslösen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In mehreren Funktionen von ubsan_throwing_runtime.cpp kann ein Integer-Überlauf einen Absturz auslösen. Dies kann zu einem entfernten Denial of Service führen, ohne dass zusätzliche Ausführungsrechte erforderlich sind. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: die vom Hersteller bereitgestellten Sicherheitsupdates einspielen.

In mehreren Funktionen von ubsan_throwing_runtime.cpp besteht eine Schwachstelle aufgrund fehlerhafter Eingabevalidierung, die einen Systemabsturz verursachen kann. Ein entfernter Angreifer kann ohne zusätzliche Rechte einen Denial-of-Service herbeiführen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Eine Race Condition in Chrome für iOS in Google Chrome auf iOS vor Version 150.0.7871.47 ermöglicht einem lokalen Angreifer mit physischem Zugriff auf das Gerät, potenziell sensible Informationen aus dem Prozessspeicher auszulesen. CVSS-Basiswert: 4.2 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Auf Google Chrome für iOS 150.0.7871.47 oder neuer aktualisieren.

Chrome DevTools for agents (chrome-devtools-mcp) erlaubt einem Coding-Agenten, einen laufenden Chrome-Browser zu steuern und zu inspizieren. In den Versionen ab 0.24.0 bis vor 1.1.0 erzwingt McpContext.validatePath() die Workspace-Grenzen nur unzureichend. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Auf chrome-devtools-mcp 1.1.0 oder neuer aktualisieren.

Chrome DevTools for agents (chrome-devtools-mcp) ermöglicht einem Coding-Agenten die Steuerung und Inspektion eines laufenden Chrome-Browsers. Von Version 0.20.0 bis vor 1.1.0 schreibt der chrome-devtools-mcp-Daemon seine PID-Datei auf unsichere Weise. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Auf chrome-devtools-mcp 1.1.0 aktualisieren.

In Google Chrome auf Android (vor Version 149.0.7827.53) ermöglichte eine unangemessene Implementierung in der Barrierefreiheit (Accessibility) einem entfernten Angreifer UI-Spoofing über eine präparierte HTML-Seite. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Auf die vom Hersteller bereitgestellte, korrigierte Chrome-Version aktualisieren.

Eine unzureichende Validierung nicht vertrauenswürdiger Eingaben in der Input-Komponente von Google Chrome (vor Version 148.0.7778.179) erlaubt einem entfernten Angreifer, der bereits den Renderer-Prozess kompromittiert hat, über eine präparierte HTML-Seite Cross-Origin-Daten abzugreifen. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Chrome bzw. Chromium-basierte Browser auf die fehlerbereinigte Version aktualisieren.

In der TabGroups-Implementierung von Google Chrome vor Version 149.0.7827.53 ermöglichte eine unangemessene Umsetzung einem entfernten Angreifer UI-Spoofing über manipulierten Netzwerkverkehr. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Google Chrome auf Version 149.0.7827.53 oder neuer aktualisieren.

Eine unangemessene Implementierung in der Komponente Keyboard von Google Chrome vor Version 149.0.7827.53 erlaubte einem entfernten Angreifer, über eine präparierte HTML-Seite beliebige Skripte oder HTML einzuschleusen (Universal Cross-Site Scripting, UXSS). Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: auf Google Chrome 149.0.7827.53 oder neuer aktualisieren.

In der Netzwerk-Komponente von Google Chrome vor Version 149.0.7827.53 werden nicht vertrauenswürdige Eingaben unzureichend geprüft. Ein entfernter Angreifer, der bereits den Renderer-Prozess kompromittiert hat, kann dadurch möglicherweise sensible Informationen auslesen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: Update auf Chrome 149.0.7827.53 oder neuer einspielen.

In der GPU-Komponente von Google Chrome unter Windows vor Version 149.0.7827.53 werden nicht vertrauenswürdige Eingaben unzureichend geprüft. Ein entfernter Angreifer, der bereits den Renderer-Prozess kompromittiert hat, kann dies möglicherweise für einen Sandbox-Ausbruch nutzen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: Update auf Chrome 149.0.7827.53 oder neuer einspielen.

Eine unzureichende Validierung nicht vertrauenswürdiger Eingaben in der Drag-and-Drop-Funktion von Google Chrome auf Android vor Version 149.0.7827.53 kann von einem entfernten Angreifer ausgenutzt werden, der den Renderer-Prozess bereits kompromittiert hat. Die genauen Auswirkungen sind in den Quelldaten nicht vollständig ausgeführt. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: Google Chrome auf Android auf Version 149.0.7827.53 oder neuer aktualisieren.

Eine unzureichende Validierung nicht vertrauenswürdiger Eingaben in der Grafikbibliothek Skia von Google Chrome (vor Version 149.0.7827.53) erlaubte einem entfernten Angreifer, der den Renderer-Prozess kompromittiert hatte, über eine präparierte HTML-Seite das Auslesen von Cross-Origin-Daten. CVSS-Basiswert liegt nicht in den Quelldaten vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: Chrome auf Version 149.0.7827.53 oder neuer aktualisieren.

Eine fehlerhafte Implementierung in PlatformIntegration von Google Chrome unter Windows vor Version 149.0.7827.53 erlaubt es einem entfernten Angreifer, der einen Benutzer zu bestimmten UI-Gesten verleitet, beliebigen Code auszuführen. CVSS-Basiswert: 6.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: auf Chrome 149.0.7827.53 oder neuer aktualisieren.

Eine unzureichende Validierung nicht vertrauenswürdiger Eingaben in der WebView-Komponente von Google Chrome auf Android vor Version 149.0.7827.53 erlaubt einem entfernten Angreifer, der bereits den Renderer-Prozess kompromittiert hat, das Auslesen von Cross-Origin-Daten. CVSS-Basiswert liegt nicht in den Quelldaten vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: Chrome auf Version 149.0.7827.53 oder neuer aktualisieren.

Eine unzureichende Validierung nicht vertrauenswürdiger Eingaben in der Komponente WebAppInstalls von Google Chrome vor Version 149.0.7827.53 ermöglicht es einem entfernten Angreifer, der den Renderer-Prozess kompromittiert hat, Cross-Origin-Daten abfliessen zu lassen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: Aktualisierung auf Google Chrome 149.0.7827.53 oder neuer.

In Google Chrome vor Version 149.0.7827.53 erlaubt eine fehlerhafte Implementierung der Web-Share-Funktion einem entfernten Angreifer, der einen Nutzer zu bestimmten Bedienungsgesten verleitet, das Auslesen von Cross-Origin-Daten über eine präparierte Seite. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: auf Google Chrome 149.0.7827.53 oder neuer aktualisieren.

In mcp-google-workspace bis zur Version 831790e7d5c2663325733d9f5579cc339a267c4c wurde eine Sicherheitslücke in der Funktion saveToDisk der Datei src/tools/gmail.ts der MCP-Gmail-Komponente gemeldet. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

Eine unzureichende Durchsetzung von Richtlinien in der WebAuthentication-Komponente von Google Chrome für Android vor Version 149.0.7827.53 erlaubte einem entfernten Angreifer, der den Renderer-Prozess kompromittiert hatte, Cross-Origin-Daten abzugreifen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: Chrome auf Version 149.0.7827.53 oder neuer aktualisieren.

Eine unzureichende Validierung nicht vertrauenswürdiger Eingaben in DevTools von Google Chrome vor 149.0.7827.53 erlaubte einem entfernten Angreifer, der zuvor den Renderer-Prozess kompromittiert hatte, das Einschleusen beliebiger Skripte oder HTML (UXSS). CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: Chrome aktualisieren.

Eine unzureichende Richtliniendurchsetzung in der CSS-Komponente von Google Chrome vor Version 149.0.7827.53 erlaubte einem entfernten Angreifer, über eine präparierte HTML-Seite Cross-Origin-Daten auszulesen (Chromium-Schweregrad: Low). CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: Chrome auf Version 149.0.7827.53 oder neuer aktualisieren.

Eine unzureichende Policy-Durchsetzung in Autofill in Google Chrome auf iOS vor Version 149.0.7827.53 erlaubte einem entfernten Angreifer über eine präparierte HTML-Seite das Ausleiten von Cross-Origin-Daten. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: auf Google Chrome 149.0.7827.53 oder neuer aktualisieren.

In der Autofill-Komponente von Google Chrome auf iOS vor Version 149.0.7827.53 wird die Sicherheitsrichtlinie unzureichend durchgesetzt. Ein entfernter Angreifer kann dadurch über eine präparierte HTML-Seite Cross-Origin-Daten auslesen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: Chrome auf Version 149.0.7827.53 oder neuer aktualisieren.

Eine unzureichende Richtliniendurchsetzung in der Komponente ServiceWorker von Google Chrome vor Version 149.0.7827.53 erlaubte einem entfernten Angreifer, über eine präparierte HTML-Seite Cross-Origin-Daten auszulesen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

Ein Out-of-Bounds-Read in der ANGLE-Komponente von Google Chrome auf Windows vor Version 149.0.7827.53 ermöglicht einem entfernten Angreifer, der den Renderer-Prozess kompromittiert hat, potenziell sensible Informationen aus dem Prozessspeicher auszulesen. Ein CVSS-Basiswert liegt nicht in den Quelldaten vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: Auf Google Chrome 149.0.7827.53 oder neuer aktualisieren.