Google Chrome: Fehlerhafte Berechtigungsprüfung in Autofill auf Android
Zusammenfassung
Fehlerhafte Berechtigungsprüfungen in der Autofill-Funktion von Google Chrome auf Android erlauben einem entfernten Angreifer, vertrauliche Informationen abzurufen. Der Angreifer benötigt dafür, dass das Opfer eine präparierte HTML-Seite öffnet; eine Anmeldung ist nicht erforderlich. Die Auswirkung betrifft nur die Vertraulichkeit, vor allem Daten, die Autofill speichert, etwa Adressen, Kontaktdaten und Zahlungsdaten.
Betroffen
- Google Chrome für Android vor 155.0.8059.39
Behoben in
- Google Chrome für Android 155.0.8059.39 oder neuer (aktuelle Stable-Version empfohlen)
Umgehung
- Keine nötig, sofern eine korrigierte Version installiert ist.
- Für verwaltete Geräte eine minimale Chrome-Version über MDM oder Google-Play-Richtlinien erzwingen.
- Autofill einzuschränken ist eine Option, sofern es die Geschäftsanforderungen erlauben; ein vom Hersteller empfohlener Workaround ist nicht bekannt.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn; CISA SSVC bewertet die Ausnutzung als none.
- Kein öffentlicher Proof of Concept bekannt.
Unsere Empfehlung
- Prüfen, ob Chrome für Android auf allen Firmen- und BYOD-Geräten auf 155.0.8059.39 oder neuer steht, vorzugsweise auf der aktuellen Stable-Version.
- Sicherstellen, dass Chrome-Updates über Google Play aktiviert und nicht blockiert sind.
- Android-Geräte ersetzen oder aktualisieren, die keine Chrome-Updates mehr erhalten.
- Priorität: mittel. Der CVSS-Wert von 8.8 weist nicht auf eine aktive Ausnutzung hin.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome for Android update (Google Chrome Releases) chromereleases.googleblog.com
- Chromium issue tracker 552440317 issues.chromium.org
- OSV: DEBIAN-CVE-2026-106249 osv.dev
- Ubuntu Security: CVE-2026-106249 ubuntu.com
- CISA ADP Vulnrichment summary (HOL Guard) hol.org
- OpenCVE: CVE-2026-106249 app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 22:05.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.