Google Chrome: Fehlerhafte Berechtigungsprüfung in Bluetooth-Komponente
Zusammenfassung
Eine fehlerhafte Berechtigungsprüfung in der Bluetooth-Komponente von Google Chrome vor 155.0.8059.39 erlaubt einem Angreifer aus der Ferne, sensible Informationen zu erlangen. Das Opfer muss dafür eine präparierte HTML-Seite öffnen; eine Authentifizierung ist nicht nötig. NVD bewertet die Schwachstelle mit 8.8 (hoch), während Chrome sie selbst als mittel einstuft und die Herstellerbeschreibung nur die Offenlegung von Informationen nennt.
Betroffen
- Google Chrome vor 155.0.8059.39 unter Linux
- Google Chrome vor 155.0.8059.39/.40 unter Mac und Windows
- Auf Chromium basierende Browser, die den betroffenen Chromium-Code enthalten, etwa Microsoft Edge (die fixe Version gemäss Herstellerhinweis prüfen)
Behoben in
- Google Chrome 155.0.8059.39 (Linux)
- Google Chrome 155.0.8059.39/.40 (Mac und Windows)
- Spätere stabile Chrome-155-Versionen enthalten die Korrektur; es sollte die aktuelle stabile Version verwendet werden
- Microsoft Edge: 155.0.4283.62 oder neuer gemäss HKCERT (im MSRC-Eintrag prüfen)
Umgehung
- Unbekannt. Der Hersteller hat keine Workaround veröffentlicht; die Behebung erfolgt durch Aktualisierung.
- Unternehmensadministratoren können den Zugriff auf Web Bluetooth über Chrome-Richtlinien einschränken, bis die Aktualisierung abgeschlossen ist (nicht vom Hersteller bestätigt).
Ausnutzung
Unbekannt. Es wurden keine Berichte über Ausnutzung in freier Wildbahn oder öffentliche Proof-of-Concept-Exploits gefunden. Der Status im CISA-KEV-Katalog und die Aussage von Google zur Ausnutzung wurden nicht geprüft.
Unsere Empfehlung
- Google Chrome und Microsoft Edge auf allen verwalteten Geräten auf die aktuelle stabile Version aktualisieren.
- Flotte auf Chrome- oder Edge-Versionen prüfen, die älter als 155.0.8059.39 sind (Edge: 155.0.4283.62).
- Automatische Browser-Updates erzwingen und Geräte überwachen, bei denen Updates blockiert oder verzögert sind.
- Den CISA-Katalog bekannter ausgenutzter Schwachstellen auf Änderungen prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium bug tracker issue 501533684 issues.chromium.org
- HKCERT: Google Chrome multiple vulnerabilities www.hkcert.org
- OSV: DEBIAN-CVE-2026-106314 osv.dev
- HKCERT: Microsoft Edge multiple vulnerabilities www.hkcert.org
- Malwarebytes: Update Chrome to fix critical security issues www.malwarebytes.com
- OpenCVE: CVE-2026-106314 app.opencve.io
- Vulners: MS:CVE-2026-106314 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 21:57.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.