Google Chrome für Android: Offenlegung von Informationen in Autofill
Zusammenfassung
Eine fehlerhafte Referenzauflösung in der Autofill-Funktion von Chrome für Android erlaubt einem Angreifer aus dem Netz, vertrauliche Informationen abzurufen. Der Angreifer muss den Benutzer per Social Engineering dazu bringen, eine manipulierte HTML-Seite aufzurufen. Der CNA bewertet die Schwachstelle mit CVSS 8.8, die Beschreibung nennt jedoch nur die Offenlegung von Informationen, weshalb die tatsächliche Auswirkung breiter sein kann.
Betroffen
- Google Chrome für Android vor 155.0.8059.39
- Desktop-Versionen sind vom Android-Fix nicht abgedeckt; die Versionsangaben für Desktop widersprechen sich in den Quellen und sind separat zu prüfen
Behoben in
- Chrome für Android 155.0.8059.39 oder neuer
- Neuere Chrome-155-Builds enthalten den Fix ebenfalls, z. B. 155.0.8059.84 für Android (Angabe aus Drittquellen; gegen die Chrome-Releases-Seite prüfen)
Umgehung
- Keine Workaround-Massnahme nötig, wenn der Patch installiert ist.
- Chromium-basierte Browser auf Android (z. B. Brave, Vanadium, Cromite, Edge) könnten den Fix später ausliefern; deren Versionen direkt prüfen.
Ausnutzung
- Ausnutzung in freier Wildbahn: nicht bekannt. CISA ADP Vulnrichment markiert die Schwachstelle nicht als bekannt ausgenutzt.
- Öffentlicher Proof-of-Concept: keiner gefunden.
- EPSS etwa 0.003 (niedrig).
Unsere Empfehlung
- Android-Geräte und Browserversionen inventarisieren, einschliesslich Edge und anderer Chromium-Browser.
- Chrome für Android über Google Play auf 155.0.8059.84 oder die neueste stabile Version aktualisieren; Updates über MDM erzwingen.
- Benutzer daran erinnern, verdächtige Links nicht zu öffnen.
- Mittelhohe bis hohe Priorität für mobile Flotten; keine Notfallmassnahmen, wenn Geräte bereits einen aktuellen Chrome-155-Build nutzen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- MSRC update guide msrc.microsoft.com
- OSV (Debian) osv.dev
- CISA ADP Vulnrichment via HOL hol.org
- Chrome Geek: Chrome 155 stable security update www.chromegeek.com
- gHacks: Chrome 155 security fixes www.ghacks.net
- OpenCVE app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 21:56.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.