Google Chrome: Use after free in Media-Komponente
Zusammenfassung
Eine Use-after-free-Schwachstelle in der Media-Komponente von Google Chrome vor 155.0.8059.39 erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Sandbox des Browsers auszuführen. Die Ausnutzung erfordert, dass das Opfer eine präparierte HTML-Seite öffnet. Google stuft das Problem auf seiner eigenen Skala als Medium ein, und die CISA-SSVC-Bewertung meldet keine Ausnutzung.
Betroffen
- Google Chrome vor 155.0.8059.39 (Desktop, Windows, Mac und Linux)
- Chromium-basierte Produkte mit eigenem Chromium-Build, etwa Microsoft Edge vor 155.0.4283.62 (Desktop)
Behoben in
- Google Chrome 155.0.8059.39 oder neuer (Windows, Mac und Linux; laut Google-Meldung 155.0.8059.39/.40 für Windows und Mac)
- Microsoft Edge 155.0.4283.62 oder neuer (Desktop)
- Debian chromium 155.0.8059.39-1~deb12u1 oder neuer
- Chainguard chromium 155.0.8059.39-r0 oder neuer
Umgehung
Unbekannt.
Ausnutzung
- Bekannt ausgenutzt (CISA KEV): Nein laut Sekundärquellen; im CISA-KEV-Katalog prüfen.
- Öffentlicher Proof of Concept: keiner gefunden; Status unbekannt.
- EPSS-Wert: 0.00331 (niedrig).
Unsere Empfehlung
- Google Chrome auf 155.0.8059.39 oder eine neuere stabile Version aktualisieren und den Browser neu starten.
- Alle Chromium-basierten Browser und Anwendungen mit eigenem Chromium aktualisieren, etwa Microsoft Edge, Electron-basierte Apps sowie Debian- oder SUSE-chromium-Pakete.
- Das Update auf verwalteten Geräten über die Admin-Konsole erzwingen.
- Auf ungewöhnliche Browser-Abstürze oder unerwartete Codeausführung achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- Malwarebytes: Update Chrome and ChromeOS to fix critical security issues www.malwarebytes.com
- HKCERT security bulletin: Microsoft Edge multiple vulnerabilities www.hkcert.org
- Debian CVE record (OSV) osv.dev
- SUSE CVE record (Vulners) vulners.com
- Chainguard CVE record (Vulners) vulners.com
- OpenCVE: CVE-2026-106335 app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 21:54.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.