Google Chrome: Use-after-free in MediaStream
Zusammenfassung
Ein Use-after-free-Fehler (CWE-416) in der Komponente MediaStream von Google Chrome erlaubt einem Angreifer aus der Ferne, innerhalb der Browser-Sandbox beliebigen Code auszuführen. Der Angreifer muss lediglich einen Benutzer dazu bringen, eine präparierte HTML-Seite zu öffnen, etwa über einen Link in einer E-Mail oder eine Werbung. Ein Ausbruch aus der Sandbox, um die volle Kontrolle über das System zu erlangen, würde einen separaten Exploit erfordern, der in den Quellen nicht behandelt wird.
Betroffen
- Google Chrome vor 154.0.8037.97 (Desktop)
- Linux-Distributionen liefern eigene Chromium-Builds mit abweichenden Versionsnummern, daher die Paketversion der Distribution prüfen
Behoben in
- Google Chrome 154.0.8037.97 oder neuer (Windows und Mac 154.0.8037.97/.98, Linux 154.0.8037.97), gemäss Chrome-Releases-Blog
- Neuere Chrome-Stable-Versionen enthalten weitere MediaStream-Korrekturen; die aktuelle Stable-Version installieren
Umgehung
Nach Installation einer gepatchten Version ist keine Massnahme nötig. Bis dahin keine unbekannten Links im Browser öffnen.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total
- Laut einem Drittanbieter-Aggregator nicht als aktiv ausgenutzt (KEV) gelistet
- Kein öffentlicher Proof of Concept gefunden; dies ist nur ein negatives Suchergebnis
Unsere Empfehlung
- Chrome auf allen Desktops auf die aktuelle Stable-Version aktualisieren, innert Tagen statt Wochen
- Die installierte Version auf jedem Gerät überprüfen, da gestaffelte Rollouts Updates verzögern können
- Updates auf verwalteten Geräten über Chrome Enterprise Policies erzwingen
- Auf Meldungen zu Ausnutzung achten und Benutzer daran erinnern, keine unbekannten Links zu öffnen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- OSV: DEBIAN-CVE-2026-103623 osv.dev
- Vulners NVD record CVE-2026-103623 vulners.com
- CISA ADP Vulnrichment mirror (HOL Guard) hol.org
- Strix CVE-2026-103623 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 22:46.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.