Google Chrome: Use-after-free in der SVG-Verarbeitung erlaubt Codeausführung
Zusammenfassung
Ein Use-after-free-Fehler (CWE-416) in der SVG-Verarbeitung von Google Chrome vor 154.0.8037.97 erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Für den Angriff genügt es, dass ein Benutzer eine präparierte HTML-Seite lädt, etwa über einen Phishing-Link oder eine kompromittierte Website. Eine vollständige Übernahme des Systems würde in der Regel eine weitere Sandbox-Flucht erfordern, die in den Quellen nicht bestätigt ist.
Betroffen
- Google Chrome Desktop-Versionen vor 154.0.8037.97 (Windows, Linux)
- Google Chrome Desktop unter macOS vor 154.0.8037.98 (der Hersteller nennt in der Advisory .98 für macOS; .98 gilt als Mindestversion, bis Google dies klärt)
- Chromium-basierte Pakete von Distributionen (z. B. Debian, SUSE) werden unter ihren eigenen Versionen geführt
Behoben in
- Google Chrome 154.0.8037.97 oder neuer (Windows, Linux)
- Google Chrome 154.0.8037.98 oder neuer (macOS)
- Neuere Builds des aktuellen Stable-Kanals sind verfügbar; die neueste Stable-Version ist einzusetzen
Umgehung
- Keine bekannt. Das Aktualisieren ist die einzige bestätigte Massnahme.
- Für verwaltete Umgebungen erhält auch der Extended-Stable-Kanal Sicherheitsupdates, als langsamere, aber unterstützte Option.
Ausnutzung
- In den geprüften Quellen wurde keine Ausnutzung in freier Wildbahn gefunden. Die CISA-SSVC-Bewertung lautet Exploitation: none; der KEV-Katalog der CISA wurde nicht direkt geprüft.
- Kein öffentlicher Proof of Concept gefunden.
- Tenable hat einen Scan-Check zur Erkennung veröffentlicht.
Unsere Empfehlung
- Chrome-Versionen auf allen Endgeräten inventarisieren, einschliesslich macOS (Minimum .98) und Linux.
- Sicherstellen, dass automatische Updates aktiviert sind, oder die aktuelle Stable-Version über die zentrale Verteilung ausrollen.
- Andere Chromium-basierte Browser sowie Debian- und SUSE-Pakete in dieselbe Prüfung einbeziehen.
- Die Aktualisierung nach dem Rollout prüfen und den Browser neu starten, damit sie wirksam wird.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop (1 Oct 2026) chromereleases.googleblog.com
- Debian Security Advisory data (OSV) osv.dev
- SUSE CVE entry (Vulners) vulners.com
- CVE record mirror (Vulners) vulners.com
- Chrome advisory mirror (Vulners GCSA) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 22:46.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.