Google Chrome for Android: Falsche Autorisierung in Transactions Platform
Zusammenfassung
Google Chrome for Android enthält eine fehlerhafte Autorisierung (CWE-863) in der Komponente Transactions Platform. Ein entfernter Angreifer kann über eine präparierte HTML-Seite sensible Informationen abgreifen. Das Opfer muss die schädliche Seite in Chrome auf einem betroffenen Android-Gerät öffnen. Google stuft den Schweregrad als niedrig ein, während der CVSS-3.1-Basiswert 8.8 beträgt.
Betroffen
- Google Chrome for Android vor 155.0.8059.39
Behoben in
- Google Chrome for Android 155.0.8059.39 oder neuer
- Neuere Stable-Versionen sind verfügbar; die neueste Stable-Version installieren.
Umgehung
Unbekannt. Es wurde kein Workaround des Herstellers gefunden. Chrome for Android aktualisieren.
Ausnutzung
- Gemäss CISA ADP Vulnrichment nicht als ausgenutzt bekannt (Exploitation: none)
- In den geprüften Quellen nicht im CISA-KEV-Katalog aufgeführt
- Kein öffentlicher Proof of Concept gefunden; dies ist kein bestätigter Ausschluss
Unsere Empfehlung
- Chrome for Android über Play Store oder MDM auf die neueste Stable-Version aktualisieren.
- Die installierte Chrome-Version auf allen Android-Geräten prüfen, auch auf nicht verwalteten Geräten und Geräten mit verzögerten Updates.
- Priorisierung über MDM- oder Play-Store-Compliance-Prüfungen statt über die Netzwerkexposition.
- Mitarbeitende für Phishing-Links auf nicht vertrauenswürdige Webseiten sensibilisieren.
- Mittlere Priorität für KMU. Chrome für Desktop ist von dieser CVE nicht betroffen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- Debian OSV record osv.dev
- Ubuntu CVE page ubuntu.com
- CISA ADP Vulnrichment (HOL) hol.org
- Horus Valley: Chrome 155 security update www.horusvalley.com
- CVE record summary (threatint) cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 21:45.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.