Google Chrome: Fehlerhafte Berechtigungsprüfung in Selection auf iOS
Zusammenfassung
Google Chrome auf iOS enthält eine fehlerhafte Berechtigungsprüfung in der Komponente Selection. Ein entfernter Angreifer kann vertrauliche Informationen abrufen, indem er einen Benutzer zu einer präparierten HTML-Seite lockt. Die Ausnutzung erfordert, dass der Benutzer die Seite öffnet; das Risiko hängt daher vom Surfverhalten ab und nicht von exponierten Diensten. Google stuft den Fehler als Low ein, während der CVE-Eintrag einen CVSS-3.1-Basiswert von 8.8 angibt.
Betroffen
- Google Chrome auf iOS vor 155.0.8059.39 (gemäss CVE-Eintrag)
- Desktop-Versionen vor 155.0.8059.39 (Windows, Mac, Linux) sind ebenfalls als betroffen aufgeführt, gemäss dem Sicherheitsupdate zu Chrome 155
Behoben in
- Desktop: 155.0.8059.39/.40 für Windows und Mac, 155.0.8059.39 für Linux (Sekundärberichte)
- iOS: Unbestätigt. Sekundärberichte nennen Chrome 155 auf iOS in Version 155.0.8059.37, was unterhalb der Schwelle 155.0.8059.39 liegt. Die behobene Version in den Versionshinweisen für Chrome für iOS oder in der App-Store-Versionshistorie prüfen.
Umgehung
Kein vom Hersteller dokumentierter Workaround. Das Aktualisieren von Chrome ist die Massnahme.
Ausnutzung
- Keine bekannte Ausnutzung. Ein Drittanbieter-Spiegel der CISA-ADP-Vulnrichment-Daten markiert die CVE nicht als bekannt ausgenutzt.
- Kein öffentlicher Proof of Concept gefunden.
- Google hat nicht angegeben, ob dieser Fehler in freier Wildbahn ausgenutzt wurde.
Unsere Empfehlung
- Chrome auf iOS auf die im App Store verfügbare neueste Version aktualisieren und sicherstellen, dass automatische Updates aktiviert sind.
- Die Compliance der Chrome-Buildnummern auf verwalteten iOS-Geräten im MDM prüfen und Builds unterhalb von 155.0.8059.39 als nicht konform behandeln, bis die behobene iOS-Version bestätigt ist.
- Desktop-Installationen von Chrome im Rahmen des regulären Update-Zyklus auf 155.0.8059.39 oder neuer aktualisieren.
- Vor einem Compliance-Entscheid den NVD-Status und den Chromium-Issue-Tracker erneut prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue 503708636 issues.chromium.org
- Chrome 155 release notes (chromestatus) chromestatus.com
- OSV: DEBIAN-CVE-2026-106309 osv.dev
- gHacks: Google releases Chrome 155 with 247 security fixes www.ghacks.net
- CVE-2026-106309 threatint mirror cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 21:56.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.