Google Chrome: Rechteerweiterung durch Sandbox-Ausbruch unter macOS
Zusammenfassung
Google Chrome unter macOS enthält einen Sandbox-Fehler, der eine Rechteerweiterung ermöglicht. Ein entfernter Angreifer, der den Renderer-Prozess bereits kompromittiert hat, kann über eine präparierte HTML-Seite beliebigen Code ausserhalb der Sandbox ausführen. Der Angriff setzt eine separate Kompromittierung des Renderers und eine Benutzerinteraktion voraus, weshalb die Lücke typischerweise als Teil einer Angriffskette ausgenutzt wird.
Betroffen
- Google Chrome unter macOS vor 155.0.8059.39 (gemäss CVE-Eintrag)
- Andere Plattformen: siehe Herstellerhinweis, der CVE-Eintrag deckt nur macOS ab
Behoben in
- Google Chrome 155.0.8059.39/.40 für macOS oder neuer (gemäss HKCERT und Berichterstattung zum Release)
- Neuere stabile Linie 155.0.8059.79/.80, veröffentlicht am 13. Oktober 2026; Behebung in diesem Build nicht verifiziert
Umgehung
- Unbekannt. Kein Workaround des Herstellers identifiziert; Update einspielen.
Ausnutzung
- Zum Zeitpunkt der Recherche sind keine Hinweise auf eine Ausnutzung in freier Wildbahn bekannt.
- Nicht im CISA-KEV-Katalog aufgeführt.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- EPSS unter 1 %.
Unsere Empfehlung
- Chrome auf allen Mac-Systemen über die automatische Aktualisierung auf den aktuellen Stable-Build bringen und die installierte Version prüfen.
- Prüfen, ob verwaltete Mac-Geräte noch auf älteren Chrome-Versionen laufen.
- Browser-Patches im regulären Zyklus halten, da die Lücke Teil einer möglichen Angriffskette mit Renderer-Schwachstellen sein kann.
Öffentliche Exploits
Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.
- Proof of Concept auf GitHub (1 Repositories)
leisureprog/CVE-2026-106378
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- OpenCVE CVE-2026-106378 app.opencve.io
- HKCERT security bulletin www.hkcert.org
- gHacks: Chrome 155 security fixes www.ghacks.net
- TechJournal: Chrome 155 critical security update techjournal.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 14:05.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.