Google Chrome: Unzureichende Zustandsvalidierung in DevTools
Zusammenfassung
Eine unzureichende Zustandsvalidierung in der Komponente DevTools von Google Chrome vor 155.0.8059.39 kann durch eine manipulierte HTML-Seite ausgelöst werden. Ein entfernter Angreifer könnte dadurch möglicherweise beliebigen Code innerhalb der Sandbox ausführen. Voraussetzung ist, dass ein Benutzer die manipulierte Seite besucht; weitere Exploit-Details sind im NVD-Eintrag nicht enthalten.
Betroffen
- Google Chrome vor 155.0.8059.39 (NVD-Beschreibung)
- Laut Drittquellen betrifft dies Windows- und macOS-Versionen vor 155.0.8059.39/.40 sowie Linux-Versionen vor 155.0.8059.39 (nicht gegen die Herstellermitteilung verifiziert)
- Auf Chromium basierende Produkte wie Microsoft Edge können betroffen sein; die Herstellermitteilungen sind zu prüfen
Behoben in
- Google Chrome 155.0.8059.39/.40 für Windows und macOS, 155.0.8059.39 für Linux (Stable-Version vom 6. Okt. 2026, laut Drittquellen)
- Neuere Chrome-155-Versionen sind verfügbar und sollten bevorzugt werden (gemeldet: 155.0.8059.84/.85 für Windows und macOS, 155.0.8059.84 für Linux)
Umgehung
- Unbekannt. In den geprüften Quellen ist kein Workaround des Herstellers verzeichnet.
- Chrome-Unternehmensrichtlinien können DevTools auf verwalteten Geräten einschränken (allgemeine Härtungsmassnahme, für diese CVE nicht verifiziert).
Ausnutzung
- CISA-SSVC-Bewertung: Exploitation none, nicht automatisierbar, totale technische Auswirkung.
- Es wurden keine Hinweise auf aktive Ausnutzung oder einen öffentlichen Proof of Concept gefunden; die Schwachstelle ist nicht als aktiv ausgenutzt gelistet.
Unsere Empfehlung
- Chrome-Version auf allen Endgeräten prüfen und sicherstellen, dass der verwaltete Update-Kanal aktiv ist.
- Auf die neueste Chrome-155-Version aktualisieren, mindestens 155.0.8059.39/.40 (Windows, macOS) bzw. 155.0.8059.39 (Linux).
- Microsoft Edge und andere Chromium-basierte Browser separat prüfen.
- Herstellermitteilungen auf Berichte über Ausnutzung überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- Strix CVE record www.strix.ai
- CIS advisory: multiple vulnerabilities in Google Chrome www.cisecurity.org
- Horus Valley: Chrome 155 security update www.horusvalley.com
- Windows Forum: Chrome 155.0.8059.79/.80 fixes windowsforum.com
- GBHackers: Chrome 155 security flaws gbhackers.com
- HKCERT: Microsoft Edge multiple vulnerabilities www.hkcert.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 21:50.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.