Google Chrome: Umgehung von Sicherheitsmassnahmen in Chromoting unter macOS
Zusammenfassung
Google Chrome unter macOS enthält eine Schwachstelle durch unvollständige Bereinigung in Chromoting, der Komponente hinter den Funktionen von Chrome Remote Desktop. Ein entfernter Angreifer kann durch gezielt manipulierten Netzwerkverkehr Systemzugriffsbeschränkungen umgehen. Google stuft das Problem als Low ein, während der NVD-CVSS-Wert 9.1 beträgt; diese Abweichung sollte vor der Priorisierung überprüft werden. Es sind keine Ausnutzungen gemeldet.
Betroffen
- Google Chrome unter macOS vor 155.0.8059.39
- Linux und Windows sind im CVE-Eintrag nicht aufgeführt
Behoben in
- Google Chrome 155.0.8059.39 oder neuer (Mac-Build laut einer sekundären Quelle 155.0.8059.40; der Google-Chrome-Releases-Beitrag nennt 155.0.8059.39/.40 für Windows und Mac)
Umgehung
- Unbekannt. Kein Workaround des Herstellers gefunden.
- Chrome-Updates auf dem Mac werden schrittweise ausgerollt; Administratoren können eine Version über die Chrome-Enterprise-Richtlinie erzwingen.
- Falls die Host-Funktion von Chrome Remote Desktop auf Macs nicht benötigt wird, sollte sie bis zur Aktualisierung deaktiviert oder entfernt werden.
Ausnutzung
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof of Concept gefunden.
- Laut einem Drittanbieter-Aggregator nicht im CISA-KEV-Katalog aufgeführt; bei CISA direkt prüfen.
Unsere Empfehlung
- Google Chrome auf allen Macs auf 155.0.8059.39 oder neuer aktualisieren, für den Mac-Build 155.0.8059.40.
- Prüfen, ob Chrome-Remote-Desktop-Hosts auf Macs aktiviert und aus dem Netzwerk erreichbar sind, und diese bei Nichtbedarf deaktivieren.
- Den CVSS-Wert auf NVD prüfen, bevor er zur Priorisierung verwendet wird.
- Die Versionshinweise des Herstellers auf Updates überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry (not retrieved) issues.chromium.org
- OSV: DEBIAN-CVE-2026-106294 osv.dev
- VulDB: CVE-2026-106294 vuldb.com
- Ubuntu security tracker: CVE-2026-106294 ubuntu.com
- Strix: CVE-2026-106294 www.strix.ai
- Browserhow: Chrome 155 stable update browserhow.com
- Google Chrome Enterprise: Mac version pinning support.google.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 07:24.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.