Google Chrome: Fehlende Autorisierung in WebAppInstalls
Zusammenfassung
Eine fehlende Autorisierung in der Funktion WebAppInstalls von Google Chrome für Desktop vor 155.0.8059.39 kann von einem Angreifer missbraucht werden, der bereits den Renderer-Prozess kompromittiert hat. Mit Social Engineering und einer präparierten HTML-Seite könnte der Angreifer möglicherweise Code ausserhalb der Browser-Sandbox ausführen. Es handelt sich um ein verkettetes Szenario, das eine vorgelagerte Kompromittierung des Renderer-Prozesses und eine Benutzerinteraktion voraussetzt; Google stuft die Lücke als Medium ein.
Betroffen
- Google Chrome für Desktop vor 155.0.8059.39 (CVE-Eintrag und OSV)
- Windows-, macOS- und Linux-Versionen sind betroffen
- Ubuntu listet sein Paket chromium-browser als nicht betroffen; Snap-basiertes Chromium muss separat geprüft werden
Behoben in
- 155.0.8059.39 (Stable-Release vom 6. Oktober 2026, gemäss Presseberichten; Herstellerhinweis nicht verifiziert)
- Später erschienene Chrome-155-Point-Releases existieren; die neueste Stable-Version installieren
Umgehung
Unbekannt. Keine vom Hersteller dokumentierte Workaround gefunden. Unternehmensrichtlinien, welche WebAppInstalls einschränken, wurden nicht verifiziert.
Ausnutzung
- Nicht als aktiv ausgenutzt markiert; nicht im CISA-KEV-Katalog
- CISA SSVC: Exploitation none, Automatable no
- Kein öffentlicher Proof of Concept in unseren Recherchen gefunden (nicht abschliessend)
- EPSS ca. 0.004 (niedrig)
Unsere Empfehlung
- Prüfen, ob alle Chrome-Installationen (Windows, macOS, Linux) die neueste Stable-Version von Chrome 155 verwenden
- Verwaltete Installationen auf Update-Richtlinien prüfen, die Updates blockieren
- Chromium-Versionen aus Linux-Distributionen und Snaps separat prüfen
- Automatische Updates aktiviert lassen und auf weitere Chrome-Sicherheitsupdates achten
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- OSV: DEBIAN-CVE-2026-106194 osv.dev
- Ubuntu security: CVE-2026-106194 ubuntu.com
- OpenCVE: CVE-2026-106194 app.opencve.io
- CISA ADP Vulnrichment (HOL Guard mirror) hol.org
- Malwarebytes: Update Chrome and ChromeOS www.malwarebytes.com
- GitHub tracker (KEV status) github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 14:13.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.