Google Chrome: Use-after-free in WebAudio erlaubt Codeausführung in der Sandbox
Zusammenfassung
Google Chrome vor 155.0.8059.39 enthält eine Use-after-free-Schwachstelle in der Komponente WebAudio. Ein entfernter Angreifer kann durch eine präparierte HTML-Seite Code innerhalb der Browser-Sandbox ausführen, wenn ein Benutzer die Seite öffnet. Die Sandbox begrenzt die Auswirkungen; für eine vollständige Kompromittierung des Systems wäre eine zweite Schwachstelle nötig.
Betroffen
- Google Chrome vor 155.0.8059.39
- Auf Chromium basierende Browser, die diese Korrekturen übernehmen, etwa Microsoft Edge, hängen von den Builds ihres Herstellers ab (auf der MSRC-Seite prüfen)
Behoben in
- Google Chrome 155.0.8059.39 oder neuer (Windows und Mac: 155.0.8059.39/.40 gemäss Google-Release-Notes; ein neuerer Stable-Build wird empfohlen)
- Debian chromium: 155.0.8059.39-1~deb12u1 für Debian 12
Umgehung
- Unbekannt. Es wurde keine vom Hersteller dokumentierte Massnahme ausser dem Patchen gefunden.
Ausnutzung
- Ausnutzung in freier Wildbahn: keine Hinweise gefunden. Den CISA-KEV-Katalog direkt prüfen.
- Öffentlicher Proof of Concept: keiner gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Google Chrome auf den neuesten Stable-Build aktualisieren und den Browser neu starten, da Updates erst nach einem Neustart wirksam werden.
- Auf Chromium basierende Browser wie Microsoft Edge gemäss den Herstellerhinweisen aktualisieren.
- Die installierte Browser-Version auf allen Arbeitsplätzen überprüfen, statt sich auf das automatische Update zu verlassen.
- Nicht verwaltete oder veraltete Browser priorisieren und Benutzer daran erinnern, keine unbekannten Links zu öffnen.
- Den CISA-KEV-Katalog auf Änderungen des Ausnutzungsstatus überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- OSV: DEBIAN-CVE-2026-106235 osv.dev
- Tenable plugin 366658 www.tenable.com
- Malwarebytes: Update Chrome and ChromeOS www.malwarebytes.com
- Google Chrome Extended Stable channel support support.google.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 22:06.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.