Google Chrome: Use after free in Media-Komponente
Zusammenfassung
Google Chrome vor 155.0.8059.39 enthält einen Use-after-free-Fehler (CWE-416) in der Media-Komponente, der mit High (CVSS 8.8) bewertet ist. Ein entfernter Angreifer kann durch eine präparierte HTML-Seite beliebigen Code innerhalb der Sandbox des Browsers ausführen. Der Angriff erfordert eine Benutzerinteraktion, etwa das Öffnen dieser Seite. Die geprüften Quellen geben nicht an, ob der Fehler zu einer vollständigen Sandbox-Flucht verkettet werden kann.
Betroffen
- Google Chrome (Desktop) vor 155.0.8059.39
- Chromium-basierte Browser, die den betroffenen Chromium-Code enthalten, etwa Microsoft Edge, benötigen eigene Updates
- Linux-Distributionen: Debian 12-Pakete vor 155.0.8059.39-1~deb12u1; Ubuntu chromium-browser (Snap)
Behoben in
- Google Chrome 155.0.8059.39 (Linux) und 155.0.8059.39/.40 (Windows, Mac), Stable Channel Update vom 6. Okt. 2026
- Debian: 155.0.8059.39-1~deb12u1
- openSUSE/SUSE: chromium 155.0.8059.39 oder neuer
- Spätere Chrome-155-Builds enthalten ebenfalls Korrekturen für andere Probleme; den aktuellen Stable-Build verwenden
Umgehung
Unbekannt. Der Hersteller dokumentiert keinen Workaround; das Einspielen des Updates ist die Behebung.
Ausnutzung
- CISA SSVC (CVE-Eintrag): Exploitation none, Automatable no, Technical Impact total
- In den geprüften Quellen wurde kein Nachweis einer Ausnutzung in freier Wildbahn gefunden
- Laut einem Drittanbieter-Tracker nicht im CISA-KEV-Katalog; der Katalog wurde nicht direkt geprüft
- Kein öffentlicher Proof of Concept gefunden; dies beweist jedoch nicht, dass keiner existiert
- EPSS 0.00303 laut einem Drittanbieter-Aggregator; aktuellen Wert bei FIRST.org prüfen
Unsere Empfehlung
- Google Chrome auf allen Arbeitsplätzen auf den aktuellen Stable-Build aktualisieren, mindestens auf 155.0.8059.39
- Microsoft Edge und andere Chromium-basierte Browser separat aktualisieren und die Versionen mit der Herstellerwarnung abgleichen
- Ubuntu-Benutzer: das Chromium-Snap aktualisieren, da das Paket chromium-browser nur ein Wrapper ist
- Über die Chrome-Enterprise-Release-Kanäle den Zeitpunkt der Verteilung steuern und den Update-Stand auf allen Endgeräten prüfen
- Ungewöhnliche Browser-Abstürze oder unerwartete Codeausführung auf Mitarbeitergeräten überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- OSV: DEBIAN-CVE-2026-106318 osv.dev
- Ubuntu Security: CVE-2026-106318 ubuntu.com
- SUSE CVE entry via Vulners vulners.com
- CISA ADP Vulnrichment via HOL Guard hol.org
- Malwarebytes: Update Chrome and ChromeOS to fix critical security issues www.malwarebytes.com
- Chrome Enterprise: release channels support.google.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 21:55.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.