Google Chrome: Informationspreisgabe in der Passwort-Komponente
Zusammenfassung
Google Chrome Desktop-Versionen vor 155.0.8059.39 enthalten eine Informationspreisgabe in der integrierten Passwort-Komponente (CWE-200). Ein entfernter Angreifer kann sensible Informationen abrufen, indem er das Opfer dazu bringt, eine präparierte HTML-Seite zu öffnen; ein Zugriff auf das Opfer ist dafür nicht nötig. Die NVD bewertet die Lücke mit CVSS 8.8, Chromium stuft sie hingegen als gering ein und die beschriebene Auswirkung ist eine Informationspreisgabe, weshalb die Bewertung mit Vorsicht zu behandeln ist. Das Hauptrisiko für Unternehmen ist die Offenlegung gespeicherter Passwörter.
Betroffen
- Google Chrome Desktop vor 155.0.8059.39
- Linux-chromium-Pakete vor 155.0.8059.39 (z. B. Debian bookworm, SUSE)
- Weitere Chromium-basierte Browser: nicht verifiziert, ein Drittanbieter-Eintrag nennt Microsoft Edge unterhalb von 155.0.4283.45
Behoben in
- Google Chrome 155.0.8059.39 (Linux) und 155.0.8059.39/.40 (Windows, macOS), gemäss Chrome-Releases-Beitrag
- Debian bookworm chromium: 155.0.8059.39-1~deb12u1
- Spätere Stable-Versionen enthalten weitere Passwort-Korrekturen; die neueste Stable-Version installieren
- Microsoft Edge: korrigierte Version nicht verifiziert, bei MSRC prüfen
Umgehung
Unbekannt. Es wurde keine Umgehungsmassnahme gefunden; ein Update ist die einzige dokumentierte Behebung.
Ausnutzung
- CISA: nicht als aktiv ausgenutzt markiert, nicht im CISA-KEV-Katalog
- EPSS etwa 0.003 (laut Vulners)
- Kein öffentlicher Proof of Concept gefunden
- Keine Ausnutzung in freier Wildbahn bekannt
Unsere Empfehlung
- Chrome, Edge, weitere Chromium-basierte Browser und Linux-chromium-Pakete inventarisieren und alle Versionen unterhalb von 155.0.8059.39 markieren
- Die neueste Stable-Version von Chrome ausrollen, nicht nur 155.0.8059.39, da spätere Passwort-Korrekturen existieren
- Die korrigierte Edge-Version bei Microsoft MSRC prüfen
- Browser-Updates nicht aufschieben lassen; den Chromium-Bug und Chrome Releases auf Details überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue 534843648 issues.chromium.org
- OSV: DEBIAN-CVE-2026-106220 osv.dev
- Vulners: MS:CVE-2026-106220 vulners.com
- Vulners: SUSECVE:CVE-2026-106220 vulners.com
- CISA ADP Vulnrichment (mirror) hol.org
- GitHub issue: CISA KEV status github.com
- gHacks: Google releases Chrome 155 with 247 security fixes www.ghacks.net
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 22:08.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.