am Mittwoch Google veröffentlichte Updates sollen vier Sicherheitslücken im Chrome-Browser beheben, darunter eine, für die angeblich bereits an einem Exploit gearbeitet wird.

Die hochriskante Schwachstelle, die verfolgt wird als CVE-2025-4664 (CVSS-Wert: 4,3) wurde als Fall unzureichender Durchsetzung von Richtlinien in einer Komponente namens Loader charakterisiert.

“Unzureichende Durchsetzung der Richtlinien in Loader i Google Laut einem Bericht ermöglichte Chrome vor Version 136.0.7103.113 einem entfernten Angreifer, Daten verschiedener Herkunft über eine speziell präparierte HTML-Seite auszulesen. Beschreibung des Fehlers.

Werbung

Der Technologiekonzern würdigte den Sicherheitsforscher Vsevolod Kokorin (@slonser_) für die Beschreibung der Schwachstelle in X am 5. Mai 2025 und fügte hinzu, dass ihnen bekannt sei, dass “ein Exploit für CVE-2025-4664 bereits im Umlauf ist”.

“Im Gegensatz zu anderen Browsern löst Chrome den Link-Header bei Subressourcenanfragen auf”, erklärte Kokorin Anfang des Monats in einer Reihe von Beiträgen auf X. “Das Problem besteht darin, dass der Link-Header eine Referrer-Richtlinie festlegen kann. Wir können unsafe-url angeben und die vollständigen Abfrageparameter erfassen.”

Der Forscher fügte außerdem hinzu, dass Abfrageparameter sensible Informationen enthalten können, die zu einer vollständigen Kontoübernahme führen könnten, und dass die Informationen über Abfrageparameter können gestohlen werden über ein Bild aus einer Drittanbieterquelle.

Es ist unklar, ob die Schwachstelle außerhalb dieser Proof-of-Concept-Demonstration (PoC) in einem böswilligen Kontext ausgenutzt wurde. CVE-2025-4664 ist die zweite Schwachstelle nach CVE-2025-2783 die in einem freien Staat der “aktiven Ausbeutung” unterworfen wurde.

Zum Schutz vor potenziellen Bedrohungen wird empfohlen, Ihren Chrome-Browser auf Version 136.0.7103.113/.114 für Windows und Mac bzw. 136.0.7103.113 für Linux zu aktualisieren. Nutzern anderer Chromium-basierter Browser wie Microsoft Edge, Brave, Opera und Vivaldi wird ebenfalls empfohlen, die Patches zu installieren, sobald diese verfügbar sind.

Aktualisieren #

Die US-amerikanische Cybersicherheits- und Infrastruktursicherheitsbehörde (CISA) gelegt am Donnerstag wurde die Sicherheitslücke CVE-2025-4664 in den Katalog bekannter ausgenutzter Schwachstellen aufgenommen ( KEV ), die Bundesbehörden dazu verpflichtet, die Korrekturen bis zum 5. Juni 2025 zu installieren.