Google Chrome: Use-after-free in der Streaming-Komponente
Zusammenfassung
In der Streaming-Komponente von Google Chrome vor 155.0.8059.39 besteht eine Use-after-free-Schwachstelle, die von einem entfernten Angreifer ausgenutzt werden könnte. Der Angreifer müsste per Social Engineering einen Benutzer auf eine präparierte HTML-Seite locken. Eine erfolgreiche Ausnutzung könnte möglicherweise beliebigen Code innerhalb der Browser-Sandbox ausführen. Die Codeausführung ist auf die Sandbox beschränkt, für eine vollständige Systemkompromittierung wäre eine separate Sandbox-Flucht nötig.
Betroffen
- Google Chrome (Desktop) vor 155.0.8059.39 (gemäss CVE-Beschreibung)
- Debian-Paket chromium für bookworm vor 155.0.8059.39-1~deb12u1 (Herstellerinformation der Distribution)
- SUSE chromium für SLES 15.7 vor 155.0.8059.39-bp157.2.241.1 (Herstellerinformation der Distribution)
- Auf Chromium basierende Browser, die den Fix übernehmen, sind betroffen, bis sie aktualisiert werden. Für dieses CVE ist keine bestätigte Microsoft-Edge-Version mit Fix bekannt.
Behoben in
- Google Chrome 155.0.8059.39 für Linux
- Google Chrome 155.0.8059.39/.40 für Windows und macOS (Google Chrome Releases, 6. Oktober 2026)
- Debian chromium 155.0.8059.39-1~deb12u1 (bookworm)
- SUSE chromium 155.0.8059.39-bp157.2.241.1 (SLES 15.7)
Umgehung
Unbekannt. Die Herstellerkorrektur ist die Massnahme. Ein vom Hersteller dokumentierter Workaround wurde nicht gefunden.
Ausnutzung
- Aktive Ausnutzung: nicht bekannt. CISA ADP Vulnrichment markiert die CVE nicht als bekannt ausgenutzt; der CISA-KEV-Katalog wurde nicht direkt geprüft.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Öffentlicher Proof of Concept: keiner gefunden.
Unsere Empfehlung
- Google Chrome auf 155.0.8059.39 oder neuer aktualisieren (Windows und macOS: 155.0.8059.39/.40 oder neuer) über Info zu Google Chrome oder die verwaltete Aktualisierung.
- Die Browser-Version auf allen Arbeitsstationen prüfen, nicht nur das Patch-Datum, da gestaffelte Ausrollungen einzelne Geräte zurücklassen können.
- Auf Chromium basierende Browser und Linux-Distributionspakete aktualisieren, sobald Fixes verfügbar sind.
- Das Update priorisieren, wenn Benutzer unbekannte Links öffnen, und die vollständige Chrome-Version installieren, die auch weitere kritische Fehler behebt.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Google Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- Debian OSV record osv.dev
- SUSE CVE record (via Vulners) vulners.com
- CISA ADP Vulnrichment (via HOL) hol.org
- Malwarebytes: Update Chrome and ChromeOS to fix critical security issues www.malwarebytes.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 21:58.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.