Google Chrome: Informationsleck in Autofill
Zusammenfassung
Google Chrome Versionen vor 155.0.8059.39 enthalten einen Informationsleck in der Funktion Autofill. Ein entfernter Angreifer kann sensible Informationen erlangen, indem er einen Benutzer zu einer präparierten HTML-Seite lockt. Der Hersteller stuft die Schwachstelle als Medium ein, der NVD-CVSS-3.1-Basiswert beträgt 8.8 (High), wobei für den Angriff eine Benutzerinteraktion erforderlich ist.
Betroffen
- Google Chrome vor 155.0.8059.39 (Desktop)
- Microsoft Edge (Chromium-basiert): Versionen vor 155.0.4283.62 für Desktop, gemäss HKCERT
Behoben in
- Google Chrome 155.0.8059.39 oder neuer (Desktop, gemäss dem Stable-Channel-Update des Herstellers vom 6. Oktober 2026)
- Microsoft Edge 155.0.4283.62 oder neuer (Desktop)
- Andere Chromium-basierte Browser und Linux-Distributionen: Unbekannt, die jeweiligen Sicherheitshinweise der Anbieter prüfen
Umgehung
Unbekannt. Es ist kein vom Hersteller dokumentierter Workaround bekannt. Als allgemeine Option kann Autofill für Adressen und Zahlungsmethoden per Chrome-Unternehmensrichtlinie eingeschränkt werden, sofern die Geschäftsanforderungen dies zulassen; dies ist für diese CVE nicht verifiziert.
Ausnutzung
- CISA SSVC (CISA ADP): Exploitation none, automatable no, technical impact partial
- Gemäss einem Drittanbieter-Tracker nicht im CISA-KEV-Katalog aufgeführt (nicht direkt verifiziert)
- EPSS unter 1 Prozent
- Kein öffentlicher Proof of Concept gefunden; der Chromium-Fehlerbericht ist eingeschränkt
Unsere Empfehlung
- Mit einer zentralen Update-Auswertung bestätigen, dass alle Chrome- und Edge-Installationen die korrigierten Versionen einsetzen
- Die Sicherheitshinweise der eingesetzten Chromium-basierten Browser und Linux-Distributionen prüfen
- Die Aktualisierung gemäss der Einstufung Medium des Herstellers priorisieren, aber zügig ausrollen, da Browser direkt aus dem Internet erreichbar sind
- Den Chromium-Tracker und den CISA-KEV-Katalog auf Änderungen überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- HKCERT security bulletin: Microsoft Edge multiple vulnerabilities www.hkcert.org
- OpenCVE: CVE-2026-106342 app.opencve.io
- Vulners: MS:CVE-2026-106342 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 21:53.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.