Google Chrome: Confused Deputy in Google Lens ermöglicht Sandbox-Ausbruch
Zusammenfassung
Google Chrome vor 155.0.8059.39 enthält eine Confused-Deputy-Schwachstelle (CWE-441) in der Komponente Google Lens. Ein entfernter Angreifer, der den Renderer-Prozess bereits kompromittiert hat, kann möglicherweise beliebigen Code ausserhalb der Browser-Sandbox ausführen, indem er einen Benutzer auf eine manipulierte HTML-Seite lockt. Die Ausnutzung setzt eine separate Kompromittierung des Renderers und eine Interaktion des Benutzers voraus, daher handelt es sich um eine zweite Stufe in einer Angriffskette.
Betroffen
- Google Chrome vor 155.0.8059.39 (Windows, macOS, Linux)
- Chromium-basierte Browser und Chromium-Pakete von Linux-Distributionen, die diesen Fix noch nicht enthalten, sind betroffen, bis sie aktualisiert werden
Behoben in
- Google Chrome 155.0.8059.39 oder neuer (Windows und macOS: 155.0.8059.39/.40; Linux: 155.0.8059.39)
- Die neueste stabile 155-Point-Release wird empfohlen (Googles Advisory wurde nicht direkt überprüft)
- Debian: chromium 155.0.8059.39-1~deb12u1 (gemäss OSV)
Umgehung
- Die Aktualisierung auf eine korrigierte Version behebt die Schwachstelle; wo der Patch eingespielt ist, ist kein Workaround nötig.
- Notlösung für Systeme, die noch nicht aktualisiert werden können: Deaktivierung von Google Lens über Chrome-Flags oder Erweiterungen, wie von einem Aggregator vorgeschlagen (nicht gegen die Google-Dokumentation verifiziert).
Ausnutzung
- Nicht in CISA KEV gelistet; CISA ADP Vulnrichment markiert sie nicht als aktiv ausgenutzt.
- EPSS etwa 0.0037 (sehr niedrig).
- Kein öffentlicher Proof of Concept und kein Exploit gefunden; dies schliesst eine private Ausnutzung nicht aus.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Prüfen, ob alle Chrome- und Edge-Installationen 155.0.8059.39 oder neuer verwenden, idealerweise die neueste 155-Point-Release.
- Linux-Systeme anhand der Chromium-Pakete ihrer Distribution prüfen.
- Sicherstellen, dass automatische Browser-Updates aktiviert und in verwalteten Umgebungen durchgesetzt sind.
- Für Microsoft Edge die Build-Nummern im Advisory von Microsoft prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- OSV: DEBIAN-CVE-2026-106228 osv.dev
- CISA ADP Vulnrichment summary (HOL Guard) hol.org
- SUSE CVE record via Vulners vulners.com
- Chainguard CVE record via Vulners vulners.com
- CIS advisory: multiple Google Chrome vulnerabilities www.cisecurity.org
- GHacks: Chrome 155 security fixes www.ghacks.net
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 14:11.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.