Google Chrome: Fehlerhafte Autorisierung in FileSystem ermöglicht Sandbox-Ausbruch
Zusammenfassung
Google Chrome vor 155.0.8059.39 enthält eine fehlerhafte Autorisierung in der Komponente FileSystem (CWE-863). Ein entfernter Angreifer kann über eine präparierte HTML-Seite, die per Social Engineering verbreitet wird, möglicherweise beliebigen Code ausserhalb der Browser-Sandbox ausführen. Der CVSS-3.1-Basiswert beträgt 9.6 (Critical); Google stuft die Lücke intern als High ein.
Betroffen
- Google Chrome vor 155.0.8059.39 (Windows, macOS, Linux)
Behoben in
- Windows und macOS: 155.0.8059.39/.40 oder neuer (gemäss Google-Advisory vom 6. Oktober 2026)
- Linux: 155.0.8059.39 oder neuer
- Debian: 155.0.8059.39-1~deb12u1 (bookworm), 155.0.8059.39-1~deb13u1 (trixie)
- Spätere stabile Versionen laut Malwarebytes: 155.0.8059.79/.80 (Windows, macOS), 155.0.8059.79 (Linux); nicht gegen das Google-Advisory verifiziert
Umgehung
- Unbekannt. Der Hersteller hat keinen Workaround veröffentlicht; das Update ist zu installieren.
- Chrome übernimmt das Update erst nach einem Neustart (Relaunch).
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- CISA SSVC: Ausnutzung none, nicht automatisierbar, technische Auswirkung total.
- Laut den geprüften Quellen nicht im CISA-KEV-Katalog aufgeführt.
- Kein öffentlicher Proof of Concept gefunden; dies schliesst einen solchen nicht aus.
Unsere Empfehlung
- Google Chrome auf allen Windows-, macOS- und Linux-Systemen auf die neueste stabile Version aktualisieren.
- Browser auf allen Endgeräten neu starten, damit das Update wirksam wird.
- Chromium-basierte Browser sowie Debian- oder SUSE-Pakete separat prüfen.
- Benutzende darauf hinweisen, keine unerwarteten Links oder Seiten zu öffnen, da der Angriff eine Benutzerinteraktion erfordert.
- Weitere Chrome-Updates überwachen, da die Version viele Sicherheitskorrekturen enthielt.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Google Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium bug tracker issues.chromium.org
- Debian tracker via OSV osv.dev
- OpenCVE (NVD and CISA ADP data) app.opencve.io
- Malwarebytes: Chrome update fixes www.malwarebytes.com
- Malwarebytes: later Chrome update www.malwarebytes.com
- VulDB vuldb.com
- GitHub alert (KEV status) github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 23:14.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.