Google Chrome: Fehlerhafte Berechtigungsprüfung im Browser ermöglicht Offenlegung von Informationen
Zusammenfassung
Google Chrome vor Version 155.0.8059.39 enthält in der Browser-Komponente eine fehlerhafte Berechtigungsprüfung (Incorrect Authorization). Ein Angreifer aus dem Netzwerk kann vertrauliche Informationen abrufen, wenn ein Benutzer eine speziell präparierte HTML-Seite öffnet. Der Angreifer benötigt keine Rechte, eine Benutzerinteraktion ist jedoch erforderlich. Chromium stuft das Problem als niedrig ein, während NVD es mit 8.8 (hoch) bewertet.
Betroffen
- Google Chrome vor 155.0.8059.39
- Andere Chromium-basierte Browser und Linux-Pakete hängen von ihren eigenen Herstellerversionen ab; deren Versionen sind separat zu prüfen.
Behoben in
- Google Chrome 155.0.8059.39 oder neuer (Windows und Mac: 155.0.8059.39/.40 gemäss Google-Advisory; Linux: 155.0.8059.39)
- Android: Version 155.0.8059.39 wird laut Meldung nur einem kleinen Prozentsatz der Benutzer ausgerollt; Google-Play-Eintrag prüfen.
Umgehung
- Es ist keine Workaround-Massnahme dokumentiert.
- Das Aktualisieren von Chrome ist die praktische Massnahme.
Ausnutzung
- Nicht im CISA-KEV-Katalog gelistet; keine bekannte Ausnutzung gemeldet.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung teilweise.
- Bei den durchgeführten Recherchen wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Chrome auf allen Endgeräten auf 155.0.8059.39 oder neuer aktualisieren und den Browser neu starten.
- Die installierte Version flottenweit überprüfen, statt automatische Updates vorauszusetzen.
- Andere Chromium-basierte Browser und Linux-Pakete prüfen und aktualisieren.
- Das Release als Gesamtpaket behandeln: Es behebt weitere Sicherheitslücken, darunter kritische.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium bug 553270559 issues.chromium.org
- CVE record (CNA text) cve.threatint.com
- OpenCVE: CVE-2026-106350 app.opencve.io
- CISA ADP Vulnrichment summary hol.org
- Tenable Nessus plugin 363364 www.tenable.com
- SUSE CVE entry (Vulners) vulners.com
- Malwarebytes: Chrome security fixes www.malwarebytes.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 21:52.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.