Google Chrome: Fehlerhafte Berechtigung in WebProtect erlaubt Informationsabfluss
Zusammenfassung
Google Chrome vor 155.0.8059.39 enthält eine fehlerhafte Berechtigungsprüfung in der Komponente WebProtect (CWE-863). Ein entfernter Angreifer kann mittels Social Engineering einen Benutzer dazu bringen, eine präparierte HTML-Seite zu öffnen, und so sensible Informationen erlangen. Der Angriff setzt voraus, dass der Benutzer die Seite lädt und damit interagiert; ein Konto ist nicht nötig. Google stuft das Problem in Chromium als Medium ein; NVD bewertet es mit 8.8 (CVSS 3.1), was für die zu erwartende Vertraulichkeitsauswirkung voraussichtlich konservativ ist.
Betroffen
- Google Chrome vor 155.0.8059.39
- Weitere Chromium-basierte Browser und Linux-Chromium-Pakete können betroffen sein, bis sie die Korrektur ausliefern (Unbekannt für Brave, Vivaldi und andere Forks)
Behoben in
- Google Chrome 155.0.8059.39 oder neuer (Windows und Mac: 155.0.8059.39/.40; spätere 155-Builds enthalten die Korrektur ebenfalls, den neuesten Build verwenden)
- Microsoft Edge: 155.0.4283.62 (Desktop) und 155.0.4283.61 (Android) gemäss Edge-Sicherheitsmitteilung
Umgehung
- Unbekannt. Es ist kein vom Hersteller dokumentierter Workaround bekannt; das Update einspielen.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; laut Sekundärquellen nicht im CISA-KEV-Katalog (im KEV-Katalog bestätigen).
- EPSS: unbekannt.
- Bei den Recherchen wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Alle Chrome-, Edge- und andere Chromium-basierte Browser auf Chrome 155.0.8059.39 oder neuer aktualisieren, vorzugsweise auf den neuesten 155-Build.
- Browser-Updates über die Verwaltungswerkzeuge erzwingen und die installierte Version auf allen Endgeräten prüfen, inklusive Linux-Systeme mit Chromium-Paketen.
- Die gesamte Chrome-155-Version patchen, die weitere Sicherheitskorrekturen enthält, nicht nur diese CVE.
- Benutzer vor Links zu unbekannten Seiten und Phishing-Versuchen warnen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- Malwarebytes: Update Chrome to fix critical security issues www.malwarebytes.com
- Microsoft Edge multiple vulnerabilities (HKCERT) www.hkcert.org
- SUSE CVE record (vulners) vulners.com
- Strix CVE page www.strix.ai
- CISA KEV status (HOL Guard) hol.org
- Chrome 155 security fixes (GHacks) www.ghacks.net
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 21:47.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.