Google Chrome vor 155.0.8059.39 (Linux) und vor 155.0.8059.39/.40 (Windows, macOS) enthält eine kritische Use-after-free-Schwachstelle in der Chromecast-Komponente (CVE-2026-106382, CVSS 9.6). Ein entfernter Angreifer kann durch eine präparierte HTML-Seite beliebigen Code ausserhalb der Browser-Sandbox ausführen. Für den Angriff ist keine Authentifizierung nötig, das Opfer muss die Seite jedoch öffnen; daher sind Drive-by-Links und schädliche Werbung das Hauptrisiko.
Google · Chrome
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
Google Chrome unter macOS enthält einen Sandbox-Fehler, der eine Rechteerweiterung ermöglicht. Ein entfernter Angreifer, der den Renderer-Prozess bereits kompromittiert hat, kann über eine präparierte HTML-Seite beliebigen Code ausserhalb der Sandbox ausführen. Der Angriff setzt eine separate Kompromittierung des Renderers und eine Benutzerinteraktion voraus, weshalb die Lücke typischerweise als Teil einer Angriffskette ausgenutzt wird.
Google · Chrome
Google Chrome vor 155.0.8059.39 enthält eine Race Condition (CWE-362) in der Komponente Fonts. Ein entfernter Angreifer, der bereits den Renderer-Prozess kompromittiert hat, kann durch eine präparierte HTML-Seite beliebigen Code ausserhalb der Sandbox ausführen. Der CVSS-Vektor setzt eine Benutzerinteraktion und eine hohe Angriffskomplexität voraus, zudem ist der Scope verändert.
Google · Chrome
Recherche und Übersetzung laufen – in Kürze hier.
Google-Chrome-Versionen vor 155.0.8059.39 enthalten einen Fehler bei der unvollständigen Bereinigung in Dawn, der WebGPU-Implementierung von Chrome. Ein entfernter Angreifer kann über eine präparierte HTML-Seite möglicherweise beliebigen Code ausserhalb der Browser-Sandbox ausführen. Der Angriff erfordert, dass der Benutzer die schädliche Seite öffnet, und ein Angreifer müsste voraussichtlich eine zweite Schwachstelle kombinieren, um die Sandbox-Grenze zu überwinden.
Google · Chrome
Eine Typverwechslung in der JavaScript-Engine V8 von Google Chrome vor 155.0.8059.39 erlaubt einem entfernten Angreifer die Ausführung von beliebigem Code innerhalb der Browser-Sandbox. Der Angriff setzt voraus, dass ein Benutzer eine präparierte HTML-Seite öffnet. Google stuft das Problem in Chromium als niedrig ein, während der CVSS-Wert laut NVD/CNA 8.8 (hoch) beträgt.
Google · Chrome
Eine Use-after-free-Schwachstelle in der Fonts-Komponente von Google Chrome unter Windows erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Sandbox des Browsers auszuführen. Voraussetzung ist, dass ein Benutzer eine speziell präparierte HTML-Seite aufruft. Der CVE-Eintrag beschreibt die Ausführung innerhalb der Sandbox und keine Sandbox-Flucht. Der CVSS-Wert beträgt 8.8 (hoch), während Chromium die Schwachstelle als mittel einstuft.
Google · Chrome
Die Desktop-Version von Google Chrome vor 155.0.8059.39 enthält eine fehlerhafte Berechtigungsprüfung in der Benutzeroberfläche (CWE-863). Ein entfernter Angreifer kann durch eine präparierte HTML-Seite möglicherweise beliebigen Code ausserhalb der Browser-Sandbox ausführen. Eine Authentifizierung ist nicht nötig, der Benutzer muss die Seite jedoch öffnen. NVD stuft die Schwachstelle als KRITISCH ein (CVSS 9.6), Chromium bewertet sie mit Mittel.
Google · Chrome
Google Chrome for Android enthält eine fehlerhafte Autorisierung (CWE-863) in der Komponente Transactions Platform. Ein entfernter Angreifer kann über eine präparierte HTML-Seite sensible Informationen abgreifen. Das Opfer muss die schädliche Seite in Chrome auf einem betroffenen Android-Gerät öffnen. Google stuft den Schweregrad als niedrig ein, während der CVSS-3.1-Basiswert 8.8 beträgt.
Google · Chrome for Android
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
Eine fehlende Berechtigungsprüfung in der Mobile-Komponente von Google Chrome für Android erlaubt einem lokalen Angreifer, potenziell beliebigen Code ausserhalb der Browser-Sandbox auszuführen. Der Angreifer benötigt eine schädliche, zusätzlich installierte App auf dem Gerät und muss den Benutzer per Social Engineering dazu bringen, sie zu installieren. Der CVSS-Vektor sieht keine Benutzerinteraktion vor, die Beschreibung setzt sie jedoch voraus, weshalb das reale Risiko vermutlich tiefer liegt als der Score vermuten lässt.
Google · Chrome for Android
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
Eine fehlende Autorisierungsprüfung in der FullScreen-Komponente von Google Chrome vor 155.0.8059.39 erlaubt einem entfernten Angreifer, Einschränkungen des Systemzugriffs zu umgehen. Der Angreifer muss zuerst den Renderer-Prozess kompromittiert haben, meist über eine andere Schwachstelle, und anschliessend per Social Engineering erreichen, dass der Benutzer eine präparierte HTML-Seite öffnet. Die NVD führt einen CVSS-Wert von 8.3, während Google das Problem in seiner Chromium-Skala als Medium einstuft.
Google · Chrome
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
Ein Use-after-free-Fehler in der Komponente Navigation von Google Chrome erlaubt einem Angreifer aus der Ferne, beliebigen Code ausserhalb der Browser-Sandbox auszuführen. Der Angreifer benötigt keine Berechtigungen, das Opfer muss jedoch eine präparierte HTML-Seite öffnen. Der CVSS-3.1-Wert beträgt 9.6 (kritisch), mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.
Google · Chrome
