Google Chrome: Use-after-free in Network-Komponente ermöglicht Codeausführung
Zusammenfassung
Google-Chrome-Desktop-Versionen vor 155.0.8059.39 enthalten eine Use-after-free-Schwachstelle in der Network-Komponente (CWE-416). Ein entfernter Angreifer, der über Social Engineering erreicht, dass ein Opfer eine präparierte Chrome-Erweiterung installiert oder verwendet, könnte möglicherweise beliebigen Code ausserhalb der Browser-Sandbox ausführen. Google stuft den Chromium-Schweregrad als Low ein, während der CVSS-3.1-Basiswert 9.6 (Critical) beträgt.
Betroffen
- Google-Chrome-Desktop-Versionen vor 155.0.8059.39
- Chromium-basierte Browser, die denselben Fix enthalten, zum Beispiel Microsoft Edge (genaue korrigierte Version beim Hersteller prüfen)
Behoben in
- Google Chrome 155.0.8059.39 oder neuer (Windows, Mac und Linux; Googles Meldung nennt für Windows und Mac zusätzlich 155.0.8059.40)
- Debian 12: chromium 155.0.8059.39-1~deb12u1
- Neuere stabile Versionen sind verfügbar; aktuellen Chrome-Stable-Kanal prüfen
- Ubuntu: Chromium-Snap aktualisieren (Snap-Revision nicht verifiziert)
Umgehung
Unbekannt.
- Für diese CVE wurde kein vom Hersteller dokumentierter Workaround gefunden.
- Die Einschränkung der Erweiterungsinstallation per Richtlinie verringert den Angriffspfad, ist aber kein Fix.
Ausnutzung
- In den geprüften Quellen wurde keine Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof-of-Concept gefunden.
- CISA SSVC: Ausnutzung none, automatisierbar no, technische Auswirkung total.
- Der EPSS-Wert ist sehr niedrig (etwa 0.003).
Unsere Empfehlung
- Google Chrome und andere Chromium-basierte Browser auf allen Endgeräten auf die aktuelle stabile Version aktualisieren.
- Linux-Systeme separat prüfen, einschliesslich Debian-Pakete und Ubuntu-Chromium-Snaps.
- Die Installation von Browser-Erweiterungen auf eine genehmigte Liste beschränken, zum Beispiel per Chrome-Enterprise-Richtlinie, und nicht benötigte Erweiterungen entfernen.
- Benutzer für Anfragen zur Installation von Erweiterungen sensibilisieren.
- Herstellerupdates und CISA-Meldungen zu aktiver Ausnutzung beobachten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker 564085088 issues.chromium.org
- Ubuntu security tracker CVE-2026-106234 ubuntu.com
- OSV Debian CVE-2026-106234 osv.dev
- SUSE CVE tracker CVE-2026-106234 vulners.com
- Malwarebytes: Update Chrome and ChromeOS to fix critical security issues www.malwarebytes.com
- CIS advisory on multiple Google Chrome vulnerabilities www.cisecurity.org
- Chrome Enterprise: Manage Chrome release channels support.google.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 23:17.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.