Google Chrome: Use-after-free in PDF-Komponente ermöglicht Codeausführung in Sandbox

Zusammenfassung

Eine Use-after-free-Schwachstelle (CWE-416) in der PDF-Komponente von Google Chrome, die PDFium verwendet, ermöglicht Codeausführung innerhalb der Browser-Sandbox. Ein Angreifer kann dies aus der Ferne ausnutzen, indem er einen Benutzer dazu bringt, eine präparierte PDF-Datei zu öffnen, zum Beispiel über eine Website, einen E-Mail-Anhang oder einen eingebetteten PDF-Viewer. Es ist keine Authentifizierung erforderlich, wohl aber eine Interaktion des Benutzers. Die Codeausführung ist auf die Sandbox beschränkt, weshalb für eine vollständige Kompromittierung des Systems ein separater Sandbox-Escape nötig wäre.

Betroffen

• Google Chrome vor 155.0.8059.39
• Chromium-basierte Browser, die denselben PDFium-Code verwenden, etwa Microsoft Edge, hängen vom Build des Herstellers ab (nicht bestätigt)
• Chromium-Pakete von Linux-Distributionen hängen gemäss den Advisories von Debian und SUSE vom Build der Distribution ab

Behoben in

• Google Chrome 155.0.8059.39 (Linux) und 155.0.8059.39/.40 (Windows und Mac) gemäss dem Chrome-Stable-Channel-Update vom 6. Oktober 2026; den genauen Build im Advisory des Herstellers prüfen
• Debian: chromium 155.0.8059.39-1~deb12u1 für bookworm
• Microsoft Edge: Build gegen den MSRC-Eintrag bestätigen, da dies nicht verifiziert werden konnte

Umgehung

Keine bekannte Workaround-Massnahme. Chrome aktualisieren und den Browser neu starten, damit der neue Build geladen wird.

Ausnutzung

• CISA ADP Vulnrichment: nicht als aktiv ausgenutzt markiert; die CVE wurde während der Recherche nicht im CISA-KEV-Katalog gefunden
• Kein öffentlich verfügbarer Proof-of-Concept-Exploit gefunden
• Die Auszüge aus dem Advisory von Google beschreiben keine Ausnutzung und keine Angaben zum Meldenden

Unsere Empfehlung

• Chrome auf allen Endgeräten auf Version 155.0.8059.39 oder neuer aktualisieren und den Browser neu starten
• Die installierte Chrome-Version auf allen Geräten prüfen und sich nicht allein auf automatische Updates verlassen
• Falls zutreffend, mit Chrome Enterprise einen Release-Kanal oder erzwungene Updates durchsetzen
• Auch Chromium-basierte Browser und Linux-Pakete gemäss den Angaben der jeweiligen Hersteller patchen
• Ungewöhnliches Browserverhalten überwachen und unerwartete PDF-Anhänge mit Vorsicht behandeln

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
• Chromium issue tracker entry issues.chromium.org
• OSV: DEBIAN-CVE-2026-106204 osv.dev
• Tenable Nessus plugin 366658 (Microsoft Edge) www.tenable.com
• Vulners: Chainguard CVE-2026-106204 vulners.com
• Vulners: SUSE CVE-2026-106204 vulners.com
• gHacks: Google releases Chrome 155 with 247 security fixes www.ghacks.net
• HOL Guard: CISA ADP Vulnrichment for CVE-2026-106204 hol.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 22:13.