Google Chrome: Use-after-free in Modularization ermöglicht Codeausführung in Sandbox
Zusammenfassung
Ein Use-after-free-Fehler in der Komponente Modularization von Google Chrome vor 155.0.8059.39 erlaubt einem Angreifer aus dem Netz, Code innerhalb der Sandbox des Browsers auszuführen. Der Angreifer benötigt keine Berechtigungen, aber ein Benutzer muss eine präparierte HTML-Seite aufrufen. Laut Beschreibung ist die Auswirkung auf die Sandbox begrenzt, für eine vollständige Kompromittierung des Systems wäre in der Regel eine zusätzliche Sandbox-Escape-Schwachstelle nötig. Auch auf Chromium-basierten Browsern wie Microsoft Edge kann die Schwachstelle vorhanden sein.
Betroffen
- Google Chrome Desktop vor 155.0.8059.39 (Windows, macOS, Linux)
- Chromium-basierte Browser, die den betroffenen Chromium-Code enthalten (z. B. Microsoft Edge, Brave, Vivaldi): Versionen unbekannt, Herstellerhinweise prüfen
Behoben in
- Google Chrome 155.0.8059.39 oder neuer (Linux); 155.0.8059.39/.40 oder neuer (Windows, macOS), gemäss dem Chrome-Releases-Stable-Update vom 6. Oktober 2026
- Debian chromium 155.0.8059.39-1~deb12u1
- Microsoft Edge: fixierte Version nicht bestätigt; MSRC-Hinweis prüfen
- Neuere Stable-Versionen (z. B. 156.x) enthalten spätere Korrekturen für ähnliche Probleme
Umgehung
Unbekannt. Es wurde keine vom Hersteller empfohlene Workaround verifiziert. Das Aktualisieren von Chrome ist die erforderliche Massnahme.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total
- Es wurden keine Hinweise gefunden, dass die Schwachstelle aktiv ausgenutzt wird
- Kein öffentlicher Proof of Concept gefunden; dies beweist jedoch nicht, dass keiner existiert
Unsere Empfehlung
- Google Chrome auf allen Desktops auf die neueste Stable-Version aktualisieren und den Browser neu starten
- Andere Chromium-basierte Browser (Microsoft Edge, Brave usw.) prüfen, aktualisieren und den Herstellerhinweisen folgen
- Sicherstellen, dass automatische Updates funktionieren und keine Erweiterung diese blockiert
- Auf Anzeichen einer Ausnutzung achten und Herstellerhinweise auf Updates prüfen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- Microsoft Security Update Guide: CVE-2026-106315 msrc.microsoft.com
- OSV: DEBIAN-CVE-2026-106315 osv.dev
- CISA ADP Vulnrichment (mirror) hol.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 21:57.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.