Google Chrome for Android: Fehlende Berechtigungsprüfung in Mobile-Komponente

Zusammenfassung

Eine fehlende Berechtigungsprüfung in der Mobile-Komponente von Google Chrome für Android erlaubt einem lokalen Angreifer, potenziell beliebigen Code ausserhalb der Browser-Sandbox auszuführen. Der Angreifer benötigt eine schädliche, zusätzlich installierte App auf dem Gerät und muss den Benutzer per Social Engineering dazu bringen, sie zu installieren. Der CVSS-Vektor sieht keine Benutzerinteraktion vor, die Beschreibung setzt sie jedoch voraus, weshalb das reale Risiko vermutlich tiefer liegt als der Score vermuten lässt.

Betroffen

• Google Chrome für Android vor 155.0.8059.39
• Unbekannt für andere Plattformen (der CVE-Eintrag betrifft nur Android)

Behoben in

• Google Chrome für Android 155.0.8059.39 oder neuer
• Ein späterer Build, 155.0.8059.79, wird von Drittquellen genannt, ist jedoch nicht gegen die Seiten von Google verifiziert

Umgehung

• Unbekannt. Es wurde kein Workaround vom Hersteller veröffentlicht; ein Patch ist verfügbar.

Ausnutzung

• In den geprüften Quellen nicht als aktiv ausgenutzt markiert (nicht direkt im CISA-KEV-Katalog geprüft)
• Kein öffentlicher Proof of Concept gefunden
• Die Advisory von Google sagt nicht, ob die Lücke in freier Wildbahn ausgenutzt wurde

Unsere Empfehlung

• Chrome für Android über Google Play auf den neuesten Stable-Build aktualisieren, mit Priorität auf BYOD-Geräte und nicht verwaltete Geräte
• Compliance-Berichte von MDM oder Play Store auf veraltete Chrome-Versionen prüfen
• App-Installationen nur aus dem offiziellen Store erlauben und Google Play Protect aktiviert lassen
• Mitarbeitende schulen, keine unbekannten Apps zu installieren, auch nicht auf privaten Geräten

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Chrome Releases: Stable Channel Update for Desktop (CVE reference) chromereleases.googleblog.com
• VulnCheck/Vulners CVE-2026-106367 record vulners.com
• OpenCVE CVE-2026-106367 app.opencve.io
• HOL Guard CVE-2026-106367 (CISA ADP Vulnrichment) hol.org
• OffSeq Radar CVE-2026-106367 radar.offseq.com
• Malwarebytes: Chrome and ChromeOS security update www.malwarebytes.com
• GHacks: Chrome 155 security fixes www.ghacks.net

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 12:47.