DFN-CERT-2014-0925 Google Chrome: Mehrere Schwachstellen erlauben unter anderem das Umgehen von Sicherheitsvorkehrungen [Linux][Windows]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Google Chrome < 36.0.1985.125 Betroffene Plattformen: Apple Mac OS X GNU/Linux Microsoft Windows Durch 26 sicherheitskritische Schwachstellen in Google Chrome, von denen nur zwei näher genannt sind, ist es einem entfernten, nicht authentifizierten Angreifer möglich, beabsichtigte Sicherheitsvorkehrungen zu umgehen, insbesondere die "Same-Origin-Policy" für SVG-Dateien, und in der Folge weitere, nicht näher beschriebene Angriffe durchzuführen. Diese Schwachstellen werden durch ein Update auf die stabile Version Chrome 36.0.1985.125 behoben. Patch: Google Chrome Stable Channel Update, 16 Juli 2014 http://googlechromereleases.blogspot.de/2014/07/stable-channel-update.html

CVE-2014-3162: Diverse nicht spezifizierte Schwachstellen in Google Chrome

Verschiedene, nicht näher beschriebene Schwachstellen wurden durch interne
Audits, “Fuzzing” und andere Initiativen gefunden, die meisten davon unter
Verwendung von “AddressSanitizer”. Über die Auswirkungen dieser
Schwachstellen ist ebenfalls nichts bekannt.

CVE-2014-3160: Schwachstelle in Scalable Vector Graphics (SVG)

Eine Schwachstelle in Scalable Vector Graphics (SVG) in Google Chrome
erlaubt die “Same-Origin-Policy” zu umgehen. Ein entfernter, nicht
authentisierter Angreifer kann die Schwachstelle ausnutzen, zum Beispiel
indem er einen Benutzer dazu bringt, sich mit dem Chrome Browser eine
speziell präparierte oder manipulierte Webseite anzeigen zu lassen, um
potentiell schädliche SVG-Bilddateien von einer anderen Webseite nachladen
zu lassen, wodurch weitere, nicht spezifizierte Angriffe möglich werden.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-0925/

Google Chrome Stable Channel Update, 16 Juli 2014:
http://googlechromereleases.blogspot.de/2014/07/stable-channel-update.html

Schwachstelle CVE-2014-3160 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3160

Schwachstelle CVE-2014-3162 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3162