Google Chrome: Use after free in Bindings ermöglicht Codeausführung in Sandbox
Zusammenfassung
Google-Chrome-Versionen vor 155.0.8059.39 enthalten eine Use-after-free-Schwachstelle in der Komponente Bindings (CWE-416). Ein entfernter Angreifer kann durch eine präparierte HTML-Seite beliebigen Code innerhalb der Browser-Sandbox ausführen. Der Angriff erfordert keine Berechtigungen, aber eine Interaktion des Benutzers (UI:R). Google stuft die Chromium-Sicherheitsschwere als High ein und NVD bewertet die Schwachstelle mit 8.8.
Betroffen
- Google Chrome vor 155.0.8059.39
- Chromium-basierte Browser, die den betroffenen Chromium-Code enthalten, etwa Microsoft Edge, je nach Release
Behoben in
- Google Chrome Stable 155.0.8059.39 (Linux)
- Google Chrome Stable 155.0.8059.39/.40 (Windows und Mac)
- Linux-Distributionen: chromium 155.0.8059.39 oder neuer in den Paketquellen; Ubuntu verwendet das Chromium-Snap
Umgehung
Unbekannt. In den geprüften Quellen wurde kein Workaround gefunden; das Aktualisieren ist die Behebung.
Ausnutzung
- CISA SSVC: Exploitation none, nicht automatisierbar
- Nicht im CISA-KEV-Katalog aufgeführt
- Kein öffentlicher Proof of Concept gefunden; die Details des Chromium-Fehlers sind eingeschränkt, daher ist dies unbekannt und nicht bestätigt abwesend
- Keine Herstelleraussage zu Ausnutzung in freier Wildbahn gefunden
Unsere Empfehlung
- Google Chrome und Microsoft Edge auf 155.0.8059.39 oder neuer aktualisieren (Windows und Mac: 155.0.8059.39/.40 oder neuer).
- Linux-Chromium-Pakete und Snaps anhand der Distributions-Advisories prüfen.
- In verwalteten Flotten die Version auf allen Endgeräten prüfen, auch bei selten online geschalteten Laptops.
- Den Status im Auge behalten, da der Chromium-Fehler eingeschränkt ist und sich ändern kann.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- Ubuntu Security: CVE-2026-106248 ubuntu.com
- OpenCVE: CVE-2026-106248 app.opencve.io
- HKCERT Security Bulletin: Google Chrome multiple vulnerabilities www.hkcert.org
- Vulners Chainguard: CVE-2026-106248 vulners.com
- Vulners SUSE: CVE-2026-106248 vulners.com
- Malwarebytes: Update Chrome and ChromeOS to fix critical security issues www.malwarebytes.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 22:05.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.