Google Chrome: Race Condition in V8 ermöglicht Codeausführung in Sandbox
Zusammenfassung
Eine Race Condition in der JavaScript-Engine V8 von Google Chrome erlaubt einem entfernten Angreifer, Code innerhalb der Browser-Sandbox auszuführen. Betroffen sind Chrome-Versionen vor 155.0.8059.39 unter Linux sowie vor 155.0.8059.39/.40 unter Windows und macOS. Der Angreifer muss lediglich einen Benutzer dazu bringen, eine präparierte HTML-Seite aufzurufen, eine Authentifizierung ist nicht erforderlich. NVD stuft die Schwachstelle mit CVSS 8.8 (hoch) ein, Chromium mit Mittel; die Auswirkung beschränkt sich auf die Sandbox, sofern keine zweite Schwachstelle damit verkettet wird.
Betroffen
- Google Chrome vor 155.0.8059.39 (Linux)
- Google Chrome vor 155.0.8059.39/.40 (Windows, macOS)
- Chromium-basierte Browser, die denselben V8-Code verwenden, etwa Microsoft Edge (Tenable nennt die gepatchte Edge-Version 155.0.4283.62)
Behoben in
- Linux: 155.0.8059.39 oder neuer
- Windows und macOS: 155.0.8059.39/.40 oder neuer
- Debian Bookworm: 155.0.8059.39-1~deb12u1
- Ubuntu: chromium-browser ist nicht betroffen, da das Chromium-Snap installiert wird
Umgehung
- Kein vom Hersteller dokumentierter Workaround. Nach dem Update mit der gepatchten Version ist kein Workaround erforderlich.
- Bis zum Update: In betroffenen Browsern keine unbekannten Websites aufrufen. Dies ist eine Ableitung und keine Empfehlung des Herstellers.
Ausnutzung
- Nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird.
- Laut einer Drittquelle nicht im CISA-KEV-Katalog aufgeführt.
- Kein öffentlicher Proof of Concept gefunden.
- EPSS 0.00337, was auf eine geringe erwartete Ausnutzung hinweist.
Unsere Empfehlung
- Alle Chrome- und Edge-Installationen auf die oben genannten korrigierten Versionen aktualisieren, zuerst die Arbeitsplätze mit Webzugriff.
- Prüfen, ob Debian- und SUSE-Systeme mit chromium-Paketen gepatcht sind.
- Browserversionen über das Verwaltungswerkzeug oder eine Inventarprüfung verifizieren.
- Den Chrome-Releases-Blog auf neuere Stable-Versionen prüfen.
- Auf öffentliche Exploit-Berichte und eine Aufnahme in den CISA-KEV-Katalog achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases, Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue 554619028 issues.chromium.org
- NVD record via OpenCVE app.opencve.io
- HKCERT security bulletin www.hkcert.org
- OSV/Debian osv.dev
- Ubuntu security notice ubuntu.com
- CISA ADP Vulnrichment via HOL hol.org
- Tenable plugin 366658 www.tenable.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 22:10.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.