Google Chrome: Use-after-free in Fonts-Komponente
Zusammenfassung
Eine Use-after-free-Schwachstelle in der Fonts-Komponente von Google Chrome unter Windows erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Sandbox des Browsers auszuführen. Voraussetzung ist, dass ein Benutzer eine speziell präparierte HTML-Seite aufruft. Der CVE-Eintrag beschreibt die Ausführung innerhalb der Sandbox und keine Sandbox-Flucht. Der CVSS-Wert beträgt 8.8 (hoch), während Chromium die Schwachstelle als mittel einstuft.
Betroffen
- Google Chrome unter Windows vor 155.0.8059.39
- Widersprüchliche Build-Angaben in den Quellen: Eine Quelle nennt 154.0.8037.39/.40 für Windows und Mac. Anhand des Chrome-Releases-Advisory überprüfen.
Behoben in
- Chrome 155.0.8059.39 oder neuer (Versionsbereich des CNA-Eintrags)
- Empfohlen wird der neueste Stable-Build. Ein späteres Stable-Update (155.0.8059.84/.85 für Windows und Mac) soll diese CVE ebenfalls abdecken.
Umgehung
- Unbekannt. Der CVE-Eintrag nennt keinen Workaround.
- Browser aktualisieren und neu starten: Über Info zu Google Chrome nach Updates suchen und anschliessend Neu starten wählen.
Ausnutzung
- CISA KEV: nicht gelistet.
- CISA SSVC: Exploitation none, Automatable no.
- Kein öffentlicher Proof of Concept gefunden. In den geprüften Quellen wurde keine Ausnutzung in freier Wildbahn gemeldet.
Unsere Empfehlung
- Sicherstellen, dass alle Windows-Installationen von Chrome Version 155.0.8059.39 oder neuer einsetzen, idealerweise den neuesten Stable-Build.
- Auf Endgeräten mit lange offenen Browsersitzungen einen Neustart des Browsers erzwingen.
- Die genaue Windows-Build-Nummer im Chrome-Releases-Advisory prüfen.
- CISA KEV und öffentliche Proof-of-Concept-Quellen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue 523699645 issues.chromium.org
- OpenCVE: CVE-2026-106373 app.opencve.io
- Strix: CVE-2026-106373 www.strix.ai
- Malwarebytes: Update Chrome to fix critical security issues www.malwarebytes.com
- GBHackers: Chrome 155 security flaws gbhackers.com
- OSV: DEBIAN-CVE-2026-106373 osv.dev
- Ubuntu CVE tracker: CVE-2026-106373 ubuntu.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 21:46.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.