Google hat in der Nacht zum Donnerstag den Webbrowser Chrome aktualisert. Mit dem Update stopft der Hersteller auch eine bereits in freier Wildbahn attackierte Sicherheitslücke.
Weiterlesen nach der Anzeige
Das erklärt Google in der Versionsankündigung. „Google ist bekannt, dass ein Exploit in freier Wildbahn existiert“ schreiben die Entwickler dort und nennen zwar eine Issue-Nummer, halten sich mit etwaigen Details zur Lücke jedoch zurück. Lediglich die Einstufung des Risikos als „hoch“ nennen sie, jedoch nicht einmal die betroffene Komponente des Browsers. Eine CVE-Nummer gibt es offenbar ebenfalls noch nicht.
Zudem gibt es zwei weitere Schwachstellen, die das Release ausbessert. Angreifer können eine Use-after-free-Lücke im Passwort-Manager ausnutzen, was oftmals das Einschleusen und Ausführen von Schadcode ermöglicht. Das scheint jedoch aufgrund der Bedrohungseinschätzung nicht allzu leicht zu klappen (CVE-2025-14372, Risiko „mittel“). Außerdem können bösartige Akteure offenbar eine „unangemessene Implementierung“ in der Toolbar für nicht näher genannte schädliche Aktionen ausnutzen (CVE-2025-14373, Risiko „mittel“).
Chrome-Nutzer und -Nutzerinnen sollten sicherstellen, dass sie die neuen Softwareversionen einsetzen.
Die Fehler bessert Google in Chrome 143.0.7499.109 für Android, 143.0.7499.109 für Linux sowie 143.0.7499.109/.110 für macOS und Windows aus. Zudem steht als Extended-Stable-Fassung der Build 142.0.7499.235 für macOS und Windows bereit. Auf der Chromium-Basis aufsetzende Browser wie Microsofts Edge dürften in Kürze ebenfalls in fehlerbereinigter Version vorliegen.
Weiterlesen nach der Anzeige
Ob die Software bereits auf aktuellem Stand ist, verrät der Versionsdialog. Der ist über das Browser-Menü, das sich in Chrome durch Klick auf das Symbol mit den drei aufeinander gestapelten Punkten rechts von der Adressleiste öffnet, und dem weiteren Weg über „Hilfe“ – „Über Google Chrome“ erreichbar.
Der Versionsdialog des Webbrowsers zeigt den aktuell laufenden Software-Stand an und startet bei Verfügbarkeit die Aktualisierung.
(Bild: heise medien)
Ist eine Aktualisierung verfügbar, startet das den Update-Vorgang und fordert im Anschluss zum nötigen Browser-Neustart auf. Unter Linux ist in der Regel der Aufruf der distributionseigenen Softwareverwaltung für die Aktualisierung nötig.
Zuletzt hatte Google Mitte November eine Schwachstelle in Chrome stopfen müssen, die bereits von Angreifern aus dem Netz attackiert wurde.
(dmk)
Das für Pentesting – also der Schwachstellensuche – entwickelte Kali Linux haben die Entwickler in Version 2025.4 veröffentlicht. Besonderes Augenmerk haben sie auf die Desktop-Umgebungen gelegt. Zudem gibt es als Spielerei einen Halloween-Modus sowie drei neue Tools.
Weiterlesen nach der Anzeige
In der Versionsankündigung schreiben die Kali-Entwickler, dass alle drei primären Desktop-Umgebungen auf neuem Stand sind. So ist Gnome nun in Version 49 an Bord und kommt gleich mit neuen, frischeren Themes daher. Den Totem-Videoplayer haben sie durch die neue Showtime-App ersetzt und das App-Grid sortiert die Kali-Tools in Ordner, damit sie intuitiver zugreifbar werden. Das Tastenkürzel Strg+Alt+T oder Win+T öffnet direkt ein Terminal. Außerdem bringt Kali Linux 2025.4 den KDE-Plasma-Desktop in aktueller Version 6.5 mit. Der XFCE-Desktop unterstützt jetzt auch Farbschemata. Über alle Desktop-Umgebungen hinweg gilt, dass Kali Linux damit auch standardmäßig auf Wayland setzt – schon länger für KDE, neu jetzt in Gnome. Die Pentest-Distribution haben sie in allen Desktops so konfiguriert, dass VM-Gasterweiterungen von VirtualBox, VMware und QEMU mit Wayland zusammenarbeiten, um etwa die Zwischenablage zu teilen und Skalieren von Fenstern zu erlauben.
Zum vergangenen Halloween haben die Kali-Entwickler einen „Kürbis-Schnitz-Wettbewerb“ ausgefochten und einen „Halloween-Modus“ zu „kali-undercover“ hinzugefügt. Der baut den Desktop auf ein hübsches Halloween-Theme um, mit Kürbissen, Spinnen und Geistern auf dem Bildschirmhintergrund. Der Aufruf von kali-undercover --halloween im Terminal wendet das Theme an.
Als neue Werkzeuge listen die Entwickler „bpf-linker“ auf, einen statischen Linker, um mehrere BPF-Objekte (Berkeley Packet Filter) zusammenzupacken. „evil-winrm-py“ kann auf entfernten Windows-Maschinen mittels WinRM Befehle ausführen. Bei „hexstrike-ai“ handelt es sich um einen MCP-Server, mit dem KI-Agenten autonom Tools starten können. Auch die mobile Kali-Linux-Version „Kali NetHunter“ haben die Programmierer weiterentwickelt. „Snowfall“ ist wieder enthalten, außerdem läuft es nun unter Android 16. Samsungs Galaxy S10, S10e, S10 Plus und S10 5G mit LineageOS 23 werden unterstützt. Zudem auch das OnePlus Nord mit Android 16 und das Xiaomi Mi 9 mit Android 15. Das Terminal läuft wieder in Kali NetHunter.
Die aktualisierten Versionen stehen wie üblich auf der Download-Seite des Kali-Linux-Projekts zum Herunterladen bereit. Es gibt Installer-Images oder fertige Abbilder für virtuelle Maschinen. Bei den Live-Images weisen die Maintainer jedoch auf eine Änderung hin. Das vollumfängliche Abbild ist mit etwa 14 GByte schlicht zu groß, sodass die Fassung nur als Torrent verfügbar ist – das Cloudflare-Größenlimit liege bei 5 Gbyte, den Dienst nutzt das Projekt als CDN. Vom Point-Release gibt es aber auch ein 4,9 GByte (x86_64) respektive 3,7 GByte großes (ARM64 Apple Silicon) Image, das direkt von den Kali-Servern zu beziehen ist.
Ende September erschien das letzte Kali-Linux-Point-Release 2025.3. Darin haben die Entwickler den Umgang mit virtuellen Maschinen etwa mittels Vagrant vereinfacht und gleich zehn neue, fürs Pentesting interessante Tools ergänzt.
Weiterlesen nach der Anzeige
(dmk)
Über TeamViewer DEX (Digital Employee Experience) managen Admins Firmencomputer. Nun können Angreifer an mehreren Schwachstellen ansetzen, um Geräte zu attackieren.
Weiterlesen nach der Anzeige
Die Sicherheitsprobleme sollen neben SaaS auch On-premise-Installationen betreffen.
In einer Warnmeldung listen die Entwickler unter anderem vier mit dem Bedrohungsgrad „hoch“ eingestufte Sicherheitslücken (CVE-2025-64986, CVE-2025-64987, CVE-2025-64988, CVE-2025-64989) auf. Sind Attacken erfolgreich, können Angreifer aus der Ferne eigene Befehle auf mit der Plattform verwalteten Geräten ausführen. Das klappt aber nur, wenn Angreifer bereits authentifiziert sind.
Nutzen Angreifer die verbleibenden Schwachstellen erfolgreich aus, können sie unter anderem auf eigentlich geschützte Informationen zugreifen (CVE-2025-46266 „mittel“) oder sogar Schadcode mit Systemrechten ausführen (CVE-2025-64994 „mittel“). Dafür ist aber ein lokaler Zugriff inklusive spezieller Schreibrechte nötig.
Die Entwickler versichern, die Sicherheitsprobleme in TeamViewer DEX 25.12 gelöst zu haben. Bislang gibt es keine Berichte zu laufenden Attacken.
(des)
Seitdem das Gesetz über digitale Dienste (DSA) verabschiedet wurde, schreitet die Umsetzung langsam voran. Nach zwei Jahren Verfahren wurde vor einer Woche dann die erste Strafe beschlossen: 120 Millionen Euro soll X zahlen. Die Sozialdemokraten im Europaparlament sehen das zwar als positives Zeichen, verlangen jedoch mehr Transparenz.
Die EU reagierte mit dem DSA auf die Macht von Online-Diensten und legte verbindliche Regeln fest, die beispielsweise mehr Transparenz im digitalen Raum und mehr Nutzerrechte schaffen sollen. Die dänische Abgeordnete Christel Schaldemose (S&D) findet, dass das Europäische Parlament einen klaren Überblick darüber haben sollte, wie die Kommission Entscheidungen zur Durchsetzung des DSA trifft. Außerdem will sie wissen, ob die europäische Behörde überhaupt über die notwendigen Instrumente verfügt, um mit den Tech-Giganten Schritt zu halten.
Besonders dringlich erscheint der Abgeordneten das Thema angesichts der „großen ungelösten Herausforderung“ von unsicheren Produkten, die von Verkäufern aus Drittländern in die EU gelangen. Auch hier greift der DSA. Anfang Dezember haben sich zu diesem Thema auch die Mitgliedstaaten im Telekommunikationsrat und im Binnenmarktsrat besprochen und eine strikte Durchsetzung des DSA verlangt.
Um die gewünschte Transparenz zu erreichen, wollen die S&D-Abgeordneten nun einen Untersuchungsausschuss gründen. Über diesen würden sie Zugriff auf Dokumente der Kommission bekommen und könnten verschiedene Zeugen befragen. Für die Gründung des Ausschusses brauchen sie im ersten Schritt Unterschriften von einem Viertel der EU-Abgeordneten, also 180 Signaturen, die sie nun zu sammeln beginnen.
Die Sozialdemokraten allein haben in ihrer Fraktion 136 Abgeordnete. Mit der Unterstützung von den Grünen (53 Abgeordnete) oder den Liberalen (77 Abgeordnete) könnten sie schon ausreichend Stimmen sammeln. Beide Fraktionen erklären gegenüber netzpolitik.org, dass sie sich erst noch intern dazu besprechen müssen. Die Initiative sei noch sehr neu und man habe noch keine offizielle Anfrage erhalten, sagte ein Sprecher der liberalen Renew-Fraktion am Mittwoch.
Im zweiten Schritt braucht der Antrag dann die Unterstützung der Konferenz der Präsidenten des Parlaments. Das sind die Präsidentin des EU-Parlaments Roberta Metsola und die jeweiligen Vorsitzenden der Fraktionen. Anschließend kann der Antrag auf die Tagesordnung der nächsten Plenarsitzung gesetzt werden.
Im dritten Schritt stimmt dann das gesamte Parlament über den Antrag ab. Hier braucht es eine Mehrheit, also insgesamt 360 Abgeordnete, die für den Vorschlag stimmen.
Grundsätzlich kann das Parlament einen Untersuchungsausschuss gründen, um Rechtsbrüchen oder Missständen bei der Anwendung des EU-Rechts nachzugehen. Im Jahr 2022 wurde ein solcher Untersuchungsausschuss für die Nutzung der Pegasus-Staatstrojaner gegründet.
Die Kommission hat in den vergangenen Wochen immer wieder betont, dass sich die DSA-Umsetzung bisher so gezogen habe, weil es sich um ein neues Gesetz handele und die internen Strukturen erst noch aufgebaut werden mussten. Digitalkommissarin Henna Virkkunen versprach letzten Monat in einer Pressekonferenz, dass die Verfahren jetzt Fahrt aufnehmen würden.
Illustrierte Reise nach New York City › PAGE online
Aus Softwarefehlern lernen – Teil 3: Eine Marssonde gerät außer Kontrolle
Top 10: Die beste kabellose Überwachungskamera im Test
Fake It Untlil You Make It? Trifft diese Kampagne den Nerv der Zeit? › PAGE online
SK Rapid Wien erneuert visuelle Identität
Kommandozeile adé: Praktische, grafische Git-Verwaltung für den Mac
Neue PC-Spiele im November 2025: „Anno 117: Pax Romana“
Donnerstag: Deutsches Flugtaxi-Start-up am Ende, KI-Rechenzentren mit ARM-Chips
