Sicherheitslücke in Chrome: CISA warnt vor aktiver Ausnutzung

WASHINGTON / MÜNCHEN (IT BOLTWISE) – Die Cybersicherheits- und Infrastruktursicherheitsagentur (CISA) hat eine dringende Warnung an US-amerikanische Bundesbehörden herausgegeben, ihre Systeme gegen Angriffe zu sichern, die eine kürzlich entdeckte Sicherheitslücke im Chrome-Webbrowser ausnutzen.

Die Cybersicherheits- und Infrastruktursicherheitsagentur (CISA) hat US-amerikanische Bundesbehörden aufgefordert, ihre Systeme gegen laufende Angriffe zu sichern, die eine kürzlich entdeckte Sicherheitslücke im Chrome-Webbrowser ausnutzen. Diese Schwachstelle, identifiziert als CVE-2025-4664, wurde von dem Sicherheitsforscher Vsevolod Kokorin entdeckt und von Google mit einem Sicherheitsupdate behoben.

Die Schwachstelle resultiert aus unzureichender Richtliniendurchsetzung in der Loader-Komponente von Google Chrome. Erfolgreiche Angriffe könnten es ermöglichen, dass Angreifer Daten über Cross-Origin hinweg auslesen, indem sie bösartig gestaltete HTML-Seiten verwenden. Kokorin erklärte, dass die Link-Header in Chrome auf Subressourcenanfragen aufgelöst werden, was ein potenzielles Risiko darstellt, da sie eine Referrer-Policy setzen können.

Besonders problematisch ist, dass Abfrageparameter sensible Daten enthalten können, die in OAuth-Flows zu einer Kontoübernahme führen könnten. Entwickler berücksichtigen selten die Möglichkeit, dass Abfrageparameter über ein Bild von einer Drittanbieterressource gestohlen werden könnten.

Google hat in einer Sicherheitsmitteilung darauf hingewiesen, dass es einen öffentlichen Exploit für diese Schwachstelle gibt, was auf eine aktive Ausnutzung hindeutet. Einen Tag später bestätigte CISA, dass CVE-2025-4664 in freier Wildbahn ausgenutzt wird und fügte es dem Katalog der bekannten ausgenutzten Schwachstellen hinzu.

Gemäß der im November 2021 erlassenen Binding Operational Directive (BOD) 22-01 müssen US-amerikanische Bundesbehörden ihre Chrome-Installationen innerhalb von drei Wochen, bis zum 7. Mai, patchen, um ihre Systeme gegen potenzielle Sicherheitsverletzungen zu schützen. Obwohl diese Richtlinie nur für Bundesbehörden gilt, wird allen Netzwerkschützern geraten, diese Schwachstelle so schnell wie möglich zu beheben.

Diese Art von Schwachstellen sind häufige Angriffsvektoren für böswillige Cyberakteure und stellen erhebliche Risiken für die Bundesunternehmen dar, warnte die Cybersicherheitsagentur. Dies ist die zweite aktiv ausgenutzte Chrome-Zero-Day-Schwachstelle, die Google in diesem Jahr gepatcht hat, nach einer anderen schwerwiegenden Schwachstelle (CVE-2025-2783), die für Cyber-Spionage-Angriffe auf russische Regierungsorganisationen, Medien und Bildungseinrichtungen missbraucht wurde.

Kaspersky-Forscher, die die Zero-Day-Angriffe entdeckten, berichteten, dass die Bedrohungsakteure CVE-2025-2783-Exploits nutzten, um die Sandbox-Schutzmechanismen von Google Chrome zu umgehen und Ziele mit Malware zu infizieren.

Bestseller Nr. 1 ᵃ⤻ᶻ «KI Gadgets»

Apple AirTag - Finde und behalte Deine Sachen im Blick: Schlüssel, Geldbörsen, Gepäck, Rucksäcke und mehr. Einfaches Einrichten mit iPhone oder iPad. Austauschbare Batterie

30,99 EUR

Bestseller Nr. 2 ᵃ⤻ᶻ «KI Gadgets»

Vikye KI -Roboter Angetrieben von Deepseek, Smart Talking Desk Companion mit 1,28 "Bildschirm, Sprachsteuerung, WLAN -Wetteruhr und Bluetooth Music Player

30,50 EUR

Bestseller Nr. 3 ᵃ⤻ᶻ «KI Gadgets»

ZOOI Geschenke für Männer, Geburtstagsgeschenk für Männer, Gadgets für Männer, Geschenke für Papa Geschenk Männergeschenk Adventskalender Füllung Männer, Bluetooth Lautsprecher mit Handyständer

17,84 EUR

Bestseller Nr. 4 ᵃ⤻ᶻ «KI Gadgets»

QCOQ® Air Tags 4er Pack Schwarz, Schlüsselfinder & Air Tracker Tagg Kompatibel mit Apple Wo ist? App (Nur iOS), Smart Key Finder mit Schlüsselband, Koffer-Tracker für Taschen/Keys, Austauschbarer Akku

29,99 EUR

Bestseller Nr. 5 ᵃ⤻ᶻ «KI Gadgets»

EIlik - Ein Desktop-Begleitroboter mit emotionaler Intelligenz, Multi-Roboter-Interaktionen, Desktop-Robotik-Partner

169,00 EUR

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!