Google Chrome for iOS: Offenlegung von Informationen im Autofill
Zusammenfassung
Google Chrome for iOS vor 155.0.8059.39 enthält eine unvollständige Bereinigung (CWE-459) im Autofill. Ein Angreifer aus der Ferne, der einen Benutzer auf eine präparierte HTML-Seite lockt, kann sensible Informationen erlangen. Der Angriff erfordert Social Engineering, damit das Opfer die Seite öffnet.
Betroffen
- Google Chrome for iOS vor 155.0.8059.39
Behoben in
- 155.0.8059.39 laut CVE-Eintrag. Die iOS-Buildnummer ist nicht bestätigt: Eine Quelle nennt 155.0.8059.37 für iOS, daher muss die installierte Version überprüft werden.
Umgehung
- Keine vom Hersteller bestätigte Umgehungslösung.
- Übergangslösung: Autofill für Adressen und Zahlungsdaten auf verwalteten iOS-Geräten per MDM einschränken, bis der installierte Build bestätigt ist.
Ausnutzung
- Nicht im CISA-KEV-Katalog aufgeführt. CISA SSVC: Exploitation none, nicht automatisierbar.
- In den geprüften Quellen wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Chrome auf allen iOS-Geräten auf die neueste Version aktualisieren, mindestens auf 155.0.8059.39, und den installierten Build bestätigen.
- Auf Geräten, die den Browser vor dem Update genutzt haben, prüfen, ob die Autofill-Daten in den Chrome-Einstellungen gelöscht sind.
- Automatische Updates auf verwalteten Geräten prüfen und den NVD-Eintrag auf Änderungen kontrollieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- OpenCVE: CVE-2026-106203 app.opencve.io
- OSV: DEBIAN-CVE-2026-106203 osv.dev
- Strix: CVE-2026-106203 www.strix.ai
- GitHub issue 1279 (CVE tracker) github.com
- gHacks: Google releases Chrome 155 with security fixes www.ghacks.net
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 22:13.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.