Google Chrome: Fehlende Autorisierung in FileSystem-API erlaubt Umgehung der Origin-Richtlinie
Zusammenfassung
Google Chrome Versionen vor 155.0.8059.39 enthalten eine fehlende Autorisierung in der FileSystem-API. Ein entfernter Angreifer, der bereits den Renderer-Prozess kompromittiert hat, kann mit einer manipulierten HTML-Seite die Web-Origin-Richtlinie umgehen. Es handelt sich um eine Schwachstelle der zweiten Stufe, die eine separate Kompromittierung des Renderer-Prozesses und eine Benutzerinteraktion, etwa den Besuch der bösartigen Seite, voraussetzt.
Betroffen
- Google Chrome vor 155.0.8059.39
- Chromium-basierte Browser (inklusive Microsoft Edge), die auf betroffenen Chromium-Versionen basieren; die genaue korrigierte Edge-Version ist aus den Quellen unklar
- Debian-Pakete chromium vor 155.0.8059.39-1~deb12u1 (bookworm)
Behoben in
- Google Chrome 155.0.8059.39 (Linux) und 155.0.8059.39/.40 (Windows, Mac) gemäss dem Stable-Channel-Update vom 6. Oktober 2026
- Es existieren spätere Point-Releases von Chrome 155; die neueste stabile Version bereitstellen
- Debian: 155.0.8059.39-1~deb12u1 für bookworm
- Ubuntu: chromium-browser-Pakete nicht betroffen; sicherstellen, dass das Chromium-Snap aktuell ist
Umgehung
Keine bekannte Workaround-Lösung. Sicherheitsupdate einspielen.
Ausnutzung
- In den geprüften Quellen nicht als aktiv ausgenutzt markiert (CISA KEV nicht direkt geprüft)
- Kein öffentlicher Proof of Concept gefunden
- Chromium-Schweregrad: Mittel; CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung partiell
Unsere Empfehlung
- Prüfen, dass Chrome und alle Chromium-basierten Browser, inklusive Microsoft Edge, Version 155.0.8059.39 oder neuer ausführen, vorzugsweise den neuesten 155-Build
- Browser neu starten, damit ausstehende Updates wirksam werden
- Linux-Systeme auf distributionseigene chromium-Pakete prüfen und diese aktualisieren
- Das Update in den regulären Patch-Zyklus aufnehmen; die Dringlichkeit ist tiefer als bei aktiv ausgenutzten Browser-Lücken, die Schwachstelle sollte aber nicht ungepatcht bleiben
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- Ubuntu security: CVE-2026-106198 ubuntu.com
- Debian OSV: CVE-2026-106198 osv.dev
- Malwarebytes: Update Chrome and ChromeOS www.malwarebytes.com
- CISA ADP Vulnrichment mirror (HOL Guard) hol.org
- OpenCVE: CVE-2026-106198 app.opencve.io
- Vulners: MS:CVE-2026-106198 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 16:58.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.