Microsoft Windows Seite 57

Eine unangemessene Implementierung in der WebAppInstalls-Komponente von Google Chrome vor Version 150.0.7871.47 erlaubte einem entfernten Angreifer, über eine präparierte HTML-Seite die Same-Origin-Policy zu umgehen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 150.0.7871.47 oder neuer aktualisieren.

In den DevTools von Google Chrome auf Windows wurde eine unzureichende Richtliniendurchsetzung festgestellt, die es einem Angreifer ermöglichen kann, über eine bösartige Erweiterung potenziell sensible Informationen zu erlangen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In Google Chrome auf Windows vor Version 147.0.7727.138 erlaubt ein Integer-Überlauf in ANGLE einem entfernten Angreifer, über eine praeparierte HTML-Seite einen Out-of-Bounds-Speicherzugriff (Lesen) auszulösen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf eine fehlerbereinigte Version aktualisieren.

In der WebNN-Komponente von Google Chrome auf Windows vor Version 151.0.7922.72 besteht eine Schwachstelle durch die Verwendung nicht initialisierten Speichers. Ein entfernter Angreifer kann über eine präparierte HTML-Seite ursprungsübergreifende Daten abgreifen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

Eine unzureichende Richtliniendurchsetzung in der Browser-Oberfläche von Google Chrome vor Version 147.0.7727.55 erlaubt einem entfernten Angreifer, der bereits den Renderer-Prozess kompromittiert hat, über eine präparierte HTML-Seite ein UI-Spoofing. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf Chrome 147.0.7727.55 oder neuer aktualisieren.

In Johnson Controls victor Web unter Windows besteht eine Schwachstelle bei der unsachgemässen Rechteverwaltung (CWE-269). Betroffen ist victor Web in Versionen vor 7.1. Ein CVSS-Basiswert und ein EPSS-Wert liegen in den Quelldaten nicht vor. Empfohlene Massnahme: auf victor Web 7.1 oder neuer aktualisieren.

Eine Eingabedatei muss nicht strikt ein strukturell gültiges PDF sein; ein als PDF getarntes Originaldokument wird dennoch an den Parser übergeben und verarbeitet. Ein solches bösartiges Dokument kann zu einer Offenlegung von Informationen führen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In Google Chrome vor 150.0.7871.47 erlaubt ein Seitenkanal-Informationsleck in der CSS-Verarbeitung einem entfernten Angreifer, über eine präparierte HTML-Seite potenziell sensible Informationen aus dem Prozessspeicher auszulesen. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf die fehlerbereinigte Version aktualisieren.

Eine unangemessene Implementierung in der GPU-Komponente von Google Chrome vor Version 150.0.7871.47 erlaubt einem entfernten Angreifer, der bereits den Renderer-Prozess kompromittiert hat, potenziell schützenswerte Informationen aus dem Prozessspeicher auszulesen. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf die gepatchte Chrome-Version aktualisieren.

Eine Klartextübertragung sensibler Informationen im Windows Ancillary Function Driver für WinSock erlaubt einem berechtigten Angreifer, lokal Informationen offenzulegen. CVSS-Basiswert: 5.5 (Mittel). Eine aktive Ausnutzung über CISA KEV oder ein Einsatz in Ransomware-Kampagnen ist nicht belegt. Empfohlene Massnahme: die von Microsoft bereitgestellten Sicherheitsupdates einspielen.

In Windows Key Guard kommt ein kryptografisches Primitiv mit einer riskanten Implementierung zum Einsatz, wodurch ein berechtigter Angreifer lokal eine Sicherheitsfunktion umgehen kann. CVSS-Basiswert: 5.5 (Mittel). Es liegen keine Hinweise auf aktive Ausnutzung (CISA KEV) oder einen Einsatz in Ransomware-Kampagnen vor.

In Google Chrome vor Version 149.0.7827.53 erlaubt eine unzureichende Validierung nicht vertrauenswürdiger Eingaben in IndexedDB einem entfernten Angreifer, der bereits den Renderer-Prozess kompromittiert hat, die Umgehung der Same-Origin-Policy über eine präparierte HTML-Seite. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf Google Chrome 149.0.7827.53 oder neuer aktualisieren.

In Google Chrome vor Version 149.0.7827.53 erlaubt eine unzureichende Richtliniendurchsetzung in der Workers-Komponente einem entfernten Angreifer, der den Renderer-Prozess kompromittiert hat, über eine präparierte HTML-Seite die Same-Origin-Policy zu umgehen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf Google Chrome 149.0.7827.53 (oder neuer) aktualisieren.

Eine fehlerhafte Implementierung in PlatformIntegration von Google Chrome unter Windows vor Version 149.0.7827.53 erlaubt es einem entfernten Angreifer, der einen Benutzer zu bestimmten UI-Gesten verleitet, beliebigen Code auszuführen. CVSS-Basiswert: 6.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf Chrome 149.0.7827.53 oder neuer aktualisieren.

In der Autofill-Funktion von Google Chrome auf Windows ermöglicht eine fehlerhafte Sicherheits-UI einem entfernten Angreifer, der einen Benutzer zu bestimmten UI-Gesten verleitet, das Vortäuschen einer falschen Oberfläche (UI-Spoofing) über eine präparierte HTML-Seite. Betroffen sind Versionen vor 150.0.7871.47. CVSS-Basiswert: 4.2 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 150.0.7871.47 oder neuer aktualisieren.

Eine fehlende Authentifizierung für eine kritische Funktion in Microsoft Windows DNS erlaubt es einem berechtigten Angreifer, lokal Manipulationen vorzunehmen. Betroffen ist Microsoft Windows. CVSS-Basiswert: 6.1 (Mittel). Ein EPSS-Wert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: verfügbare Sicherheitsupdates von Microsoft einspielen.

Eine Race Condition in der DataTransfer-Komponente von Google Chrome erlaubt einem entfernten Angreifer über eine präparierte HTML-Seite, potenziell sensible Informationen aus dem Prozessspeicher auszulesen. Betroffen sind Versionen vor Chrome 150.0.7871.47. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf eine fehlerbereinigte Chrome-Version aktualisieren.

Eine Race Condition in der WebRTC-Komponente von Google Chrome auf Windows vor Version 150.0.7871.47 erlaubt einem entfernten Angreifer über eine präparierte HTML-Seite, Cross-Origin-Daten auszulesen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Update auf Google Chrome 150.0.7871.47 oder neuer.

Eine unzureichende Zugriffskontrolle im Windows-System erlaubt einem nicht autorisierten Angreifer, lokal eine Sicherheitsfunktion zu umgehen. CVSS-Basiswert: 5.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Das Canon EOS Network Setting Tool in Version 1.5.0 und früher validiert Server-Zertifikate nicht ordnungsgemäss. Dies kann Angreifern in einer Man-in-the-Middle-Position ermöglichen, die Verbindung zu kompromittieren. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf eine korrigierte Version des EOS Network Setting Tools aktualisieren.

Adobe InDesign Desktop (Versionen 21.3, 20.5.3 und früher) ist von einer Out-of-Bounds-Read-Schwachstelle betroffen, die zur Offenlegung sensibler Speicherinhalte führen kann. Zur Ausnutzung muss ein Benutzer eine präparierte Datei öffnen. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Eine unzureichende Validierung nicht vertrauenswürdiger Eingaben in der DataTransfer-Komponente von Google Chrome auf Windows vor Version 150.0.7871.47 erlaubt einem entfernten Angreifer, der den Renderer-Prozess kompromittiert hat, UI-Spoofing durchzuführen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Update auf Google Chrome 150.0.7871.47 oder neuer.

In Google Chrome vor Version 149.0.7827.155 erlaubt eine unangemessene Implementierung in der Passwords-Komponente einem entfernten Angreifer, Cross-Origin-Daten über eine präparierte HTML-Seite abzugreifen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf Google Chrome 149.0.7827.155 oder neuer aktualisieren.

Eine uninitialisierte Speichernutzung in der Video-Komponente von Google Chrome unter Windows (vor Version 149.0.7827.103) erlaubt einem Angreifer, der zuvor den Renderer-Prozess kompromittiert hat, potenziell sensible Informationen aus dem Prozessspeicher auszulesen. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Update auf Chrome 149.0.7827.103 oder neuer.

Eine unzureichende Durchsetzung von Richtlinien in Subresource Integrity von Google Chrome vor Version 149.0.7827.53 erlaubte einem entfernten Angreifer, die Content Security Policy über manipulierten Netzwerkverkehr zu umgehen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Auf Google Chrome 149.0.7827.53 oder neuer aktualisieren.

In Avantra von syslink software AG auf Linux und Windows werden Anmeldedaten ungeschützt übertragen, was Sniffing-Angriffe ermöglicht. Betroffen sind Versionen vor 25.3.0. CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Eine fehlerhafte Sicherheits-UI in der Blink-Engine von Google Chrome vor Version 147.0.7727.55 erlaubt einem entfernten Angreifer über eine präparierte HTML-Seite ein UI-Spoofing. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf Chrome 147.0.7727.55 oder neuer aktualisieren.

In Google Chrome vor Version 147.0.7727.55 erlaubt eine fehlerhafte Sicherheits-UI im Vollbildmodus (Fullscreen) einem entfernten Angreifer, über eine praeparierte HTML-Seite eine UI-Taeuschung durchzuführen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf eine fehlerbereinigte Version aktualisieren.

Eine unzureichende Richtliniendurchsetzung in der Browser-Oberfläche von Google Chrome vor Version 147.0.7727.55 erlaubte es laut Quelle einem Angreifer aus der Ferne, der den Renderer-Prozess bereits kompromittiert hatte, den Inhalt der Omnibox (Adressleiste) zu fälschen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Aktualisierung auf Version 147.0.7727.55 oder neuer.

Eine unzureichende Prüfung nicht vertrauenswürdiger Eingaben in WebSockets in Google Chrome vor Version 147.0.7727.55 erlaubte einem entfernten Angreifer, der den Renderer-Prozess kompromittiert hatte, über eine präparierte HTML-Seite die Same-Origin-Policy zu umgehen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Google Chrome auf Version 147.0.7727.55 oder neuer aktualisieren.

Ein Out-of-Bounds-Read in der VideoCapture-Komponente von Google Chrome vor Version 149.0.7827.115 erlaubte einem entfernten Angreifer, der bereits den GPU-Prozess kompromittiert hatte, potenziell sensible Informationen aus dem Prozessspeicher auszulesen. Als betroffen ausgewiesen sind Google ChromeOS/Chrome, Apple (macOS/iOS), Amazon Linux (ALAS), Oracle Linux (ELSA), Rocky Linux und Microsoft Windows. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf eine korrigierte Chrome-Version aktualisieren.

Eine ungeeignete Implementierung in WebRTC von Google Chrome vor Version 149.0.7827.53 erlaubte einem Angreifer in einer privilegierten Netzwerkposition, über bösartigen Netzwerkverkehr Cross-Origin-Daten offenzulegen. CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 149.0.7827.53 oder neuer aktualisieren.

In Google Chrome vor Version 147.0.7727.55 erlaubt eine Richtlinienumgehung in Blink einem entfernten Angreifer über eine präparierte HTML-Seite ein UI-Spoofing. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf Chrome 147.0.7727.55 oder neuer aktualisieren.

In Google Chrome auf Windows vor Version 147.0.7727.55 erlaubt eine unzureichende Validierung nicht vertrauenswürdiger Eingaben in der Download-Funktion einem entfernten Angreifer über eine präparierte HTML-Seite die Umgehung von Download-Beschränkungen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf Chrome 147.0.7727.55 oder neuer aktualisieren.

Eine unangemessene Implementierung in der UI von Google Chrome vor Version 150.0.7871.47 erlaubt einem entfernten Angreifer, der einen Nutzer zu bestimmten UI-Interaktionen verleitet, UI-Spoofing über eine präparierte HTML-Seite durchzuführen. CVSS-Basiswert: 4.2 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 150.0.7871.47 oder neuer aktualisieren.

In Google Chrome vor 149.0.7827.197 kann ein entfernter Angreifer, der bereits den Renderer-Prozess kompromittiert hat, über eine uninitialisierte Speichernutzung in der GPU-Komponente potenziell sensible Informationen aus dem Prozessspeicher auslesen. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf die fehlerbereinigte Version aktualisieren.

In Google Chrome vor 149.0.7827.53 kann ein entfernter Angreifer, der den Renderer-Prozess kompromittiert hat, über eine Use-after-free in der Netzwerk-Komponente potenziell sensible Informationen aus dem Prozessspeicher auslesen. CVSS-Basiswert: 4.7 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf die fehlerbereinigte Version aktualisieren.

Adobe Acrobat Reader (Versionen 24.001.30365, 26.001.21651 und früher) ist von einer Out-of-Bounds-Read-Schwachstelle betroffen, die zur Offenlegung sensibler Speicherinhalte führen kann. Zur Ausnutzung muss ein Benutzer eine präparierte Datei öffnen. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Eine unangemessene Implementierung (Inappropriate implementation) in der Safe-Browsing-Komponente von Google Chrome vor Version 149.0.7827.53 erlaubt einem entfernten Angreifer über eine präparierte RAR-Datei, die benutzerbestimmte Zugriffskontrolle (discretionary access control) zu umgehen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Update auf Google Chrome 149.0.7827.53 oder neuer.

Eine fehlerhafte Sicherheits-UI im Berechtigungsdialog von Google Chrome unter Windows vor Version 147.0.7727.55 erlaubt einem entfernten Angreifer über eine präparierte HTML-Seite ein Domain-Spoofing. Nutzer können dadurch über die tatsächliche Herkunft einer Seite getäuscht werden. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf Chrome 147.0.7727.55 oder neuer aktualisieren.

In der Media-Komponente von Google Chrome vor Version 149.0.7827.155 besteht eine fehlerhafte Implementierung. Ein entfernter Angreifer kann dadurch über eine präparierte HTML-Seite potenziell sensible Informationen aus dem Prozessspeicher auslesen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 149.0.7827.155 oder neuer aktualisieren.

Das Canon EOS Network Setting Tool in Version 1.5.0 oder früher verwendet schwache kryptografische SSH-Algorithmen. CVSS-Basiswert: 6.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Eine unzureichende Validierung nicht vertrauenswürdiger Eingaben in der WebXR-Komponente von Google Chrome (vor Version 150.0.7871.47) erlaubt einem entfernten Angreifer über eine präparierte HTML-Seite die Umgehung von Navigationsbeschränkungen. Betroffen sind neben Google Chrome auch Linux-Distributionen und Betriebssysteme, die Chromium ausliefern. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In Google Chrome vor Version 150.0.7871.47 erlaubt eine unzureichende Durchsetzung von Richtlinien in der Network-Komponente einem entfernten Angreifer, über eine präparierte HTML-Seite die Content Security Policy zu umgehen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf Google Chrome 150.0.7871.47 oder neuer aktualisieren.

Eine fehlerhafte Implementierung in der Glic-Komponente von Google Chrome (vor Version 150.0.7871.47) erlaubt einem entfernten Angreifer, der einen Nutzer zu bestimmten UI-Gesten verleitet, über eine präparierte HTML-Seite UI-Spoofing durchzuführen. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome bzw. Chromium-basierte Browser auf die fehlerbereinigte Version aktualisieren.

Eine fehlerhafte Implementierung in der Serial-Komponente von Google Chrome vor Version 149.0.7827.155 erlaubte einem entfernten Angreifer über eine präparierte HTML-Seite das Einschleusen beliebiger Skripte oder HTML (Universal Cross-Site-Scripting, UXSS). CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf Chrome 149.0.7827.155 oder neuer aktualisieren.

Ein Use-after-free in der Ozone-Komponente von Google Chrome vor Version 149.0.7827.103 könnte einem lokalen Angreifer über physischen Zugriff auf das Gerät die Ausnutzung einer Heap-Corruption ermöglichen. CVSS-Basiswert: 6.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Aktualisierung auf Chrome 149.0.7827.103 oder neuer.

Eine unzureichende Validierung nicht vertrauenswürdiger Eingaben in der Input-Komponente von Google Chrome erlaubt einem entfernten Angreifer, der zuvor den Renderer-Prozess kompromittiert hat, über eine präparierte HTML-Seite die Same-Origin-Policy zu umgehen. Betroffen sind Versionen vor 149.0.7827.155. CVSS-Basiswert: 4.2 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Auf Google Chrome 149.0.7827.155 oder neuer aktualisieren.

In Google Chrome vor Version 147.0.7727.55 besteht eine Race Condition in der WebCodecs-Komponente. Ein entfernter Angreifer kann dadurch über eine manipulierte HTML-Seite potenziell vertrauliche Informationen aus dem Prozessspeicher auslesen. CVSS-Basiswert: 5.3 (Mittel).

InDesign Desktop in den Versionen 21.3, 20.5.3 und früher ist von einer NULL-Pointer-Dereferenzierung betroffen, die zu einem Denial-of-Service der Anwendung führen kann. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Auf eine vom Hersteller bereitgestellte, fehlerbereinigte Version aktualisieren.