Google Chrome für Android: Informationsleck in der Passwort-Komponente
Zusammenfassung
Google Chrome auf Android vor 155.0.8059.39 enthält ein Informationsleck in der Passwort-Komponente. Ein entfernter Angreifer kann über eine präparierte HTML-Seite sensible Informationen abrufen, wenn ein Benutzer durch Social Engineering dazu gebracht wird, diese zu öffnen. Der NVD/CNA-Score beträgt 8.8, während Google das Problem als Schweregrad Niedrig einstuft.
Betroffen
- Google Chrome auf Android vor 155.0.8059.39
- Die Android-Buildnummer, die 155.0.8059.39 entspricht, konnte nicht verifiziert werden.
Behoben in
- Google Chrome auf Android 155.0.8059.39 oder neuer (die aktuelle Stable-Version wird empfohlen)
- Desktop-Korrekturen: Chrome 155.0.8059.39 und neuer (Windows, Mac, Linux)
Umgehung
- Unbekannt. Kein Workaround des Herstellers identifiziert; das Aktualisieren von Chrome ist die Korrektur.
Ausnutzung
- Keine bekannte Ausnutzung (laut den geprüften Quellen nicht im CISA KEV-Katalog).
- Kein öffentlicher Proof of Concept gefunden.
- EPSS: Unbekannt.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact partial.
Unsere Empfehlung
- Prüfen, ob Chrome auf Android auf 155.0.8059.39 oder neuer steht, idealerweise die aktuelle Stable-Version, über die automatische Aktualisierung im Play Store.
- Sicherstellen, dass Desktop-Chrome und Edge auf die korrigierten Versionen aktualisiert sind.
- Phishing-Sensibilisierung für Links zu unbekannten Webseiten einplanen, da eine Benutzerinteraktion erforderlich ist.
- Mobile Geräte mit älteren Chrome-Versionen priorisieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- OSV: DEBIAN-CVE-2026-106256 osv.dev
- Tenable plugin 366658 www.tenable.com
- Strix CVE record www.strix.ai
- Malwarebytes: Chrome security update www.malwarebytes.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 22:04.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.