SimpleHelp Remote Support Seite 26

In der WebView-Komponente von Google Chrome unter Android vor Version 151.0.7922.72 besteht eine fehlerhafte Implementierung. Ein entfernter Angreifer kann darüber über eine präparierte HTML-Seite UI-Spoofing durchführen. Laut Chromium-Einstufung liegt der Schweregrad bei Low. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In der DigitalCredentials-Komponente von Google Chrome vor Version 151.0.7922.72 liegt eine unsachgemässe Implementierung vor. Ein entfernter Angreifer kann darüber mittels einer präparierten HTML-Seite UI-Spoofing durchführen. CVSS-Basiswert: 5.4 (Mittel). Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In der iOS-Version von Google Chrome vor Version 151.0.7922.72 liegt eine fehlerhafte Implementierung vor. Über eine präparierte HTML-Seite kann ein entfernter Angreifer dadurch UI-Spoofing durchführen. Chromium stuft den Sicherheitsschweregrad intern als Low ein. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In Chrome für iOS vor Version 151.0.7922.72 werden nicht vertrauenswürdige Eingaben unzureichend validiert. Ein entfernter Angreifer kann darüber mittels bösartigen Netzwerkverkehrs beliebige Skripte oder HTML injizieren (Universal Cross-Site Scripting, UXSS). CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In der Payments-Komponente von Google Chrome vor Version 151.0.7922.72 erfolgt eine unzureichende Validierung nicht vertrauenswürdiger Eingaben. Über eine präparierte HTML-Seite kann ein entfernter Angreifer dadurch UI-Spoofing durchführen. Chromium stuft den Sicherheitsschweregrad intern als Low ein. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In der Views-Komponente von Google Chrome vor Version 151.0.7922.72 besteht eine fehlerhafte Implementierung. Ein entfernter Angreifer kann darüber über eine präparierte HTML-Seite UI-Spoofing durchführen. Laut Chromium-Einstufung liegt der Schweregrad bei Low. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In der UI-Komponente von Google Chrome auf Android vor Version 151.0.7922.72 erlaubt eine fehlerhafte Sicherheits-UI einem entfernten Angreifer, über eine präparierte HTML-Seite Domain-Spoofing durchzuführen. Chromium stuft die Schwere intern als „Low“ ein. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet.

In der Komponente Chrome for iOS von Google Chrome auf iOS wird die Sicherheits-UI fehlerhaft dargestellt (Incorrect Security UI). Ein entfernter Angreifer kann darüber mittels einer präparierten HTML-Seite UI-Spoofing durchführen. Betroffen sind Versionen von Google Chrome auf iOS vor 151.0.7922.72. Chromium selbst stuft den Schweregrad intern als „Low“ ein. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Update auf Google Chrome für iOS 151.0.7922.72 oder neuer einspielen.

In Chrome for iOS in Google Chrome auf iOS vor Version 151.0.7922.72 erlaubt eine unpassende Implementierung einem entfernten Angreifer, über eine präparierte HTML-Seite UI-Spoofing durchzuführen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet.

In der Global-Media-Controls-Komponente von Google Chrome vor Version 151.0.7922.72 liegt eine fehlerhafte Implementierung vor. Über eine präparierte HTML-Seite kann ein entfernter Angreifer dadurch UI-Spoofing durchführen. Chromium stuft den Sicherheitsschweregrad intern als Low ein. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

Eine unzureichende Validierung nicht vertrauenswürdiger Eingaben in der Navigation-Komponente von Google Chrome vor Version 151.0.7922.72 erlaubt es einem entfernten Angreifer, der den Renderer-Prozess bereits kompromittiert hat, eine UI-Spoofing-Attacke durchzuführen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Update auf Google Chrome 151.0.7922.72 oder neuer.

In der Media-Komponente von Google Chrome auf Mac vor Version 151.0.7922.72 ermöglichte ein Out-of-Bounds-Lesezugriff einem Angreifer, der den Renderer-Prozess bereits kompromittiert hatte, über eine präparierte HTML-Seite potenziell einen Sandbox-Escape durchzuführen. CVSS-Basiswert: 5.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Update auf Google Chrome 151.0.7922.72 oder neuer.

In der GPU-Komponente von Google Chrome auf macOS vor Version 151.0.7922.72 besteht eine Use-after-free-Schwachstelle. Ein entfernter Angreifer, der den Renderer-Prozess bereits kompromittiert hat, kann darüber potenziell einen Sandbox-Escape über eine präparierte HTML-Seite durchführen. CVSS-Basiswert: 5.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Update auf Google Chrome 151.0.7922.72 oder neuer.

In der Grafikbibliothek Skia von Google Chrome vor Version 151.0.7922.72 erlaubt ein Out-of-Bounds-Read einem Angreifer, der bereits den Renderer-Prozess kompromittiert hat, über eine präparierte HTML-Seite potenziell einen Sandbox-Escape durchzuführen. CVSS-Basiswert: 5.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet.

In der Bluetooth-Komponente von Google Chrome auf Android vor Version 151.0.7922.72 besteht eine Use-after-free-Schwachstelle. Ein entfernter Angreifer, der den Renderer-Prozess kompromittiert hat, kann darüber möglicherweise einen Sandbox-Escape durchführen. CVSS-Basiswert: 5.0 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Update auf Google Chrome 151.0.7922.72 oder neuer.

In der UI-Komponente von Google Chrome auf Android vor Version 151.0.7922.72 erlaubt eine unpassende Implementierung einem entfernten Angreifer, der einen Nutzer zu bestimmten UI-Gesten verleitet, Cross-Origin-Daten auszulesen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor, ebenso keine EPSS-Angabe. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet.

Im Linux-Kernel wurde ein Datei-Referenzleck in io_uring/nop behoben, das bei der Verwendung registrierter Dateien (IOSQE_FIXED_FILE) auftreten konnte. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: den bereitgestellten Kernel-Fix einspielen.

In Google Chrome für iOS vor Version 151.0.7922.72 besteht eine fehlerhafte Implementierung. Ein entfernter Angreifer, der einen Nutzer zu bestimmten UI-Gesten verleitet hat, kann dadurch die Same-Origin-Policy umgehen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In der Media-Komponente von Google Chrome auf Windows vor Version 151.0.7922.72 besteht eine fehlerhafte Implementierung. Ein entfernter Angreifer, der den Renderer-Prozess bereits kompromittiert hat, kann dadurch die Same-Origin-Policy umgehen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In der WebMCP-Komponente von Google Chrome vor Version 151.0.7922.72 besteht eine unzureichende Durchsetzung von Zugriffsrichtlinien. Ein entfernter Angreifer kann über eine präparierte HTML-Seite die Same-Origin-Policy umgehen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

Eine unsachgemässe Implementierung im Headless-Modus von Google Chrome vor Version 151.0.7922.72 erlaubt es einem entfernten Angreifer, über eine präparierte HTML-Seite die Same-Origin-Policy zu umgehen. Google stuft die Schwere intern als „Chromium security severity: Medium“ ein. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Update auf Google Chrome 151.0.7922.72 oder neuer.

Im Linux-Kernel wurde eine Schwachstelle im Intel-IOMMU-Treiber (VT-d) behoben: Der Treiber erlaubte Shared Virtual Addressing (SVA) auf Geräten, auch wenn diese kein PCI/PRI unterstützen, was im SVA-Unbind-Pfad zu einer WARNING führte. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

Pixelfeds SearchController akzeptiert laut NVD hinter der Auth-Middleware eine URL über Remote-Search-Parameter und ruft diese serverseitig über den ActivityPubFetchService ab. Dessen validateUrl() blockiert laut Quellenbeschreibung nur unzureichend. CVSS-Basiswert: 4.3 (Mittel).

Eine fehlerhafte Implementierung der CSS-Komponente von Google Chrome erlaubt es einem entfernten Angreifer, über eine präparierte HTML-Seite beliebige Skripte oder HTML einzuschleusen (Universal XSS). Betroffen sind Chrome-Versionen vor 151.0.7922.72. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Eine fehlerhafte Implementierung in DevTools von Google Chrome erlaubt es einem Angreifer, der bereits den Renderer-Prozess kompromittiert hat, Skripte oder HTML in eine privilegierte Seite einzuschleusen. Betroffen sind Chrome-Versionen vor 151.0.7922.72. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In der CSS-Komponente von Google Chrome vor Version 151.0.7922.72 besteht eine fehlerhafte Implementierung. Ein entfernter Angreifer kann über eine präparierte HTML-Seite beliebige Skripte oder HTML einschleusen (Universal Cross-Site Scripting, UXSS). CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In der Erweiterungen-Komponente von Google Chrome vor Version 150.0.7871.182 erlaubt eine unzureichende Validierung nicht vertrauenswürdiger Eingaben einem entfernten Angreifer über eine präparierte HTML-Seite, den Inhalt der Omnibox (URL-Leiste) zu fälschen. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf Chrome 150.0.7871.182 oder neuer aktualisieren.

In der Tab-Komponente von Google Chrome auf Android vor Version 151.0.7922.72 besteht eine Type-Confusion-Schwachstelle. Ein entfernter Angreifer, der den Renderer-Prozess bereits kompromittiert hat, kann dadurch potenziell einen Sandbox-Ausbruch durchführen. CVSS-Basiswert: 5.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

Drucker der HP ENVY 5000 Series verwalten gleichzeitige TCP-Verbindungen zum Port 9100 (JetDirect/RAW-Druck) nicht korrekt. Ein nicht authentifizierter, entfernter Angreifer im selben Netzwerk kann dies für einen Denial of Service ausnutzen. CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In der webbasierten Management-Oberfläche von Cisco IOS XE Software besteht laut NVD eine Schwachstelle, die es einem authentifizierten Angreifer mit niedrigen Rechten im Netzwerk erlaubt, auf einem betroffenen Gerät einen Denial-of-Service-Zustand herbeizuführen. CVSS-Basiswert: 6.3 (Mittel). Eine EPSS-Bewertung liegt in den Quelldaten nicht vor.

Juicer bis einschliesslich Version 1.12.18 maskiert die Felder einer Remote-Feed-API-Antwort nicht, bevor sie auf der Admin-Einstellungsseite gerendert werden. Angreifer, die die angebundenen Feed-Daten kontrollieren, können so Skriptcode einschleusen, der im Kontext der Administrationsoberfläche ausgeführt wird. Die Ausnutzung erfordert eine Nutzerinteraktion. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In DevTools von Google Chrome vor Version 151.0.7922.72 werden nicht vertrauenswürdige Eingaben unzureichend validiert. Ein entfernter Angreifer, der bereits den Renderer-Prozess kompromittiert hat, kann dadurch potenziell einen Sandbox-Escape durchführen. CVSS-Basiswert: 5.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

Eine unzureichende Validierung nicht vertrauenswürdiger Eingaben in der Updater-Komponente von Google Chrome on Mac vor Version 151.0.7922.72 erlaubt es einem entfernten Angreifer, der bereits den Renderer-Prozess kompromittiert hat, unter Umständen eine Sandbox zu umgehen. CVSS-Basiswert: 5.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Update auf Google Chrome 151.0.7922.72 oder neuer.

Im Linux-Kernel wurde eine Härtung gegen JIT-Spraying im BPF-Subsystem ergänzt. Der BPF-JIT-Allokator packt viele kleine Programme in grössere ausführbare Speicherbereiche, was Angreifern das gezielte Platzieren von Code erleichtern konnte. CVSS-Basiswert liegt nicht in den Quelldaten vor.

In der Passwords-Komponente von Google Chrome vor Version 151.0.7922.72 werden nicht vertrauenswürdige Eingaben unzureichend validiert. Ein entfernter Angreifer kann darüber über bösartigen Netzwerkverkehr UI-Spoofing durchführen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In der Autofill-Komponente von Google Chrome (vor Version 151.0.7922.72) führt eine unangemessene Implementierung dazu, dass ein entfernter Angreifer über eine präparierte HTML-Seite Cross-Origin-Daten auslesen kann. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Aktualisierung auf Google Chrome 151.0.7922.72 oder neuer.

Eine unsachgemässe Implementierung in der Autofill-Komponente von Google Chrome vor Version 151.0.7922.72 erlaubt es einem entfernten Angreifer, über eine präparierte HTML-Seite herkunftsübergreifende (cross-origin) Daten auszulesen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Update auf Google Chrome 151.0.7922.72 oder neuer.

In Google Chrome für iOS vor Version 151.0.7922.72 besteht eine Race-Condition. Ein entfernter Angreifer kann über eine präparierte HTML-Seite ein UI-Spoofing durchführen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

Eine Race Condition in Chrome for iOS erlaubt es einem entfernten Angreifer, über eine präparierte HTML-Seite ein UI-Spoofing durchzuführen. Betroffen sind Chrome-Versionen vor 151.0.7922.72. Chromium stuft den Schweregrad als Medium ein. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

Eine Race Condition in Chrome for iOS von Google Chrome auf iOS vor Version 151.0.7922.72 ermöglicht einem entfernten Angreifer, über eine präparierte HTML-Seite beliebige Skripte oder HTML einzuschleusen (Universal Cross-Site Scripting, UXSS). Chromium stuft den Schweregrad intern als High ein. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet. Empfohlene Massnahme: Update auf Google Chrome 151.0.7922.72 oder neuer.

In GIMP besteht eine Schwachstelle beim Verarbeiten von PAA-Dateien (Paint Shop Pro Array): Ein Angreifer kann einen Nutzer dazu verleiten, eine speziell präparierte Bilddatei zu öffnen, was einen heap-basierten Speicherfehler auslöst. CVSS-Basiswert: 5.5 (Mittel).

In der Blink-Komponente von Google Chrome vor Version 151.0.7922.72 besteht eine fehlerhafte Implementierung. Ein entfernter Angreifer kann darüber über eine präparierte HTML-Seite beliebige Skripte oder HTML injizieren (Universal Cross-Site Scripting). CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

In der Network-Komponente von Google Chrome vor Version 151.0.7922.72 besteht eine fehlerhafte Implementierung. Ein entfernter Angreifer kann über eine präparierte HTML-Seite beliebige Skripte oder HTML einschleusen (Universal Cross-Site Scripting, UXSS). CVSS-Basiswert: 6.1 (Mittel). Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

Eine unsachgemässe Implementierung in der CSS-Verarbeitung von Google Chrome vor Version 151.0.7922.72 erlaubt es einem entfernten Angreifer, über eine präparierte HTML-Seite beliebige Skripte oder HTML einzuschleusen (Universal XSS). CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Update auf Google Chrome 151.0.7922.72 oder neuer.

Eine unsachgemässe Implementierung in den DevTools von Google Chrome erlaubt es einem entfernten Angreifer, der einen Nutzer zu bestimmten UI-Interaktionen verleitet, Navigationsbeschränkungen zu umgehen. Betroffen sind Chrome-Versionen vor 151.0.7922.72. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Eine unzureichende Durchsetzung von Richtlinien in der WebXR-Komponente von Google Chrome vor Version 151.0.7922.72 erlaubt es einem entfernten Angreifer, über eine präparierte HTML-Seite die Same-Origin-Policy zu umgehen. Google stuft die Schwere intern als „Chromium security severity: Medium“ ein. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Update auf Google Chrome 151.0.7922.72 oder neuer.

In der Media-Komponente von Google Chrome vor Version 151.0.7922.72 besteht ein Seitenkanal-Informationsleck. Über eine präparierte HTML-Seite kann ein entfernter Angreifer dadurch ursprungsübergreifende (cross-origin) Daten auslesen. Chromium stuft den Sicherheitsschweregrad intern als Low ein. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

Im file-png-Plugin von GIMP wurde eine Schwachstelle festgestellt. Ein entfernter Angreifer kann sie ausnutzen, indem er ein präpariertes animiertes PNG-Bild (APNG) mit einem übergrossen tRNS-Chunk erstellt. Nähere Angaben zu den konkreten Auswirkungen liegen in den Quelldaten nicht vor. CVSS-Basiswert: 5.5 (Mittel).

In der Bluetooth-Komponente von Google Chrome vor Version 151.0.7922.72 werden nicht vertrauenswürdige Eingaben unzureichend validiert. Ein entfernter Angreifer, der bereits den Renderer-Prozess kompromittiert hat, kann dadurch potenziell einen Sandbox-Escape durchführen. CVSS-Basiswert: 5.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Chrome auf Version 151.0.7922.72 oder neuer aktualisieren.

Eine unzureichende Validierung nicht vertrauenswürdiger Eingaben in der Druckfunktion von Google Chrome auf Windows erlaubt es einem entfernten Angreifer, der bereits den Renderer-Prozess kompromittiert hat, potenziell einen Sandbox-Ausbruch durchzuführen. Betroffen sind Chrome-Versionen für Windows vor 151.0.7922.72. CVSS-Basiswert: 5.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.