2024-1966: Google Chrome, Chromium, Microsoft Edge: Mehrere Schwachstellen ermöglichen das Ausführen beliebigen Programmcodes

Historie:

Version 1 (2024-07-31 13:35): Neues Advisory
Version 2 (2024-08-02 08:58): Ebenfalls innerhalb der nächsten Tage soll die Chrome Version 127.0.6533.84 für Android über Google Play verfügbar werden. Zusätzlich zu Stabilitäts- und Performance-Verbesserungen umfasst das Release für Android die Behebung der gleichen Schwachstellen, die auch in der Desktop Version behoben werden. Microsoft stellt die Microsoft Edge Stable Channel Version 127.0.2651.86 und Extended Stable Channel Version 126.0.2592.132 auf Basis von Chromium 127.0.6533.88/89 für Windows bereit, um die Schwachstellen zu beheben. Für Fedora 39 und 40 stehen Sicherheitsupdates in Form von 'chromium-127.0.6533.88-2'-Paketen im Status 'testing' bereit, um die Schwachstellen zu beheben. Hiermit erfolgt ein Update auf das Chromium 127.0.6533.88 Release. Für Fedora 40 werden damit auch die mit der vorherigen Version 127.0.6533.72 behobenen Schwachstellen adressiert.
Version 3 (2024-08-05 10:04): Für Fedora EPEL 8 und 9 stehen 'chromium-127.0.6533.88-2-Pakete im Status 'stable' bereit, um die Schwachstellen zu beheben. Damit werden auch die mit der vorherigen Version 127.0.6533.72 behobenen Schwachstellen adressiert.

Betroffene Software

Office

Betroffene Plattformen

Apple
Linux
Microsoft

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen aus der Ferne ausnutzen, um beliebigen Programmcode auszuführen.

Für die Ausnutzung der Schwachstellen sind keine Privilegien erforderlich. Alle Schwachstellen erfordern die Interaktion eines Benutzers.

Die Schwachstelle CVE-2024-6990 in der Komponente 'Dawn' wird von Google als kritisch eingestuft.

Zur Behebung der Schwachstellen stellt Google die Chrome Version 127.0.6533.88 für Linux sowie 127.0.6533.88/89 für macOS und Windows zur Verfügung. Zusätzlich wird laut Hersteller in den nächsten Tagen bzw. Wochen für Windows und macOS die Extended Chrome Version 126.0.6478.226 veröffentlicht.

Google stellt, wie üblich, derzeit nur wenig Informationen zu den Schwachstellen bereit und wartet mit der Veröffentlichung weiterer Informationen darauf, dass ein Großteil der Benutzer das Update auf die neue Version vollzogen hat.

Schwachstellen:

CVE-2024-6990

Schwachstelle in Chromium und Google Chrome Dawn ermöglicht Ausführen beliebigen Programmcodes

CVE-2024-7255

Schwachstelle in Chromium und Google Chrome WebTransport ermöglicht Ausführen beliebigen Programmcodes

CVE-2024-7256