2025-1892: Google Chrome, Chromium: Mehrere Schwachstellen ermöglichen u. a. einen Denial-of-Service-Angriff

Historie:

Version 1 (2025-07-16 13:06)

Neues Advisory

Version 2 (2025-07-17 13:47)

Für Debian 12 Bookworm (stable) steht ein Sicherheitsupdate für 'chromium' in Version 138.0.7204.157-1~deb12u1 bereit, um die Schwachstellen zu beheben.

Version 3 (2025-07-17 14:19)

Microsoft veröffentlicht die Microsoft-Edge Version 138.0.3351.95, basierend auf der Chromium Version 138.0.7204.157/.158, um die Schwachstellen zu beheben

Version 4 (2025-07-18 16:07)

Für Fedora 41 sowie EPEL 10.1 steht das Paket 'chromium-138.0.7204.157-1' im Status 'testing' bereit, um vier Schwachstellen zu beheben.

Version 5 (2025-07-23 17:52)

Die CYBERSECURITY & INFRASTRUCTURE SECURITY AGENCY (CISA) hat die Schwachstelle CVE-2025-6558 in ihren 'Known Exploited Vulnerabilities Catalog' aufgenommen.

Version 6 (2025-07-28 10:09)

Für openSUSE Backports SLE 15 SP6 und 15 SP7 stehen Sicherheitsupdates für 'chromium' bereit, um drei Schwachstellen zu beheben.

Betroffene Software

Office

Betroffene Plattformen

Apple
Google
Linux
Microsoft

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen aus der Ferne ausnutzen, um beliebigen Programmcode auszuführen, einen Denial-of-Service (DoS)-Angriff und nicht spezifizierte Angriffe durchzuführen.

Für die Ausnutzung der Schwachstellen sind keine Privilegien erforderlich. Alle Schwachstellen erfordern die Interaktion eines Benutzers.

Zur Behebung der Schwachstellen stellt Google die Chrome Version 138.0.7204.157 für Linux sowie 138.0.7204.157/.158 für Windows und macOS zur Verfügung. Die neuen Versionen sollen in den nächsten Tagen bzw. Wochen ausgerollt werden.

Wie üblich, stellt Google derzeit nur wenig Informationen zu den Schwachstellen bereit und wartet mit der Veröffentlichung weiterer Informationen darauf, dass ein Großteil der Benutzer das Update auf die neue Version vollzogen hat.
 
Mit den verfügbaren Sicherheitsupdates werden neben den nicht weiter spezifizierten Fixes (CRBUG-431819349) sechs Schwachstellen behoben, von denen drei von externen Sicherheitsforschern gemeldet wurden und daher von Google einzeln aufgelistet werden. Diese drei Schwachstellen werden vom Hersteller als 'high' bewertet und Google gibt an, dass ein Exploit zur Ausnutzung der Schwachstelle CVE-2025-6558 öffentlich verfügbar ist.

Die Chrome Version 138.0.7204.157 für Android wird über Google Play in den nächsten Tagen zur Verfügung gestellt. Zusätzlich zu Stabilitäts- und Performance-Verbesserungen umfasst das Release für Android die Behebung der gleichen Schwachstellen, die auch in der Desktop Version behoben werden.

Über den App Store steht die Chrome Version 138.0.7204.156 für iOS bereit, welche Stabilitäts- und Performance-Verbesserungen umfasst. Google behebt mit dieser Version keine Schwachstellen.

Schwachstellen:

CRBUG-431819349

Schwachstellen in Chromium und Google Chrome ermöglichen nicht spezifizierte Angriffe

CVE-2025-6558

Schwachstelle in Chromium und Google Chrome ANGLE und GPU sowie WebKit ermöglicht u. a. Denial-of-Service-Angriff

CVE-2025-7656

Schwachstelle in Chromium und Google Chrome V8 ermöglicht Ausführen beliebigen Programmcodes

CVE-2025-7657

Schwachstelle in Chromium und Google Chrome WebRTC ermöglicht Ausführen beliebigen Programmcodes

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.