Google Chrome: Use-after-free-Schwachstelle in Chromecast-Komponente ermöglicht Codeausführung
Zusammenfassung
Google Chrome vor 155.0.8059.39 (Linux) und vor 155.0.8059.39/.40 (Windows, macOS) enthält eine kritische Use-after-free-Schwachstelle in der Chromecast-Komponente (CVE-2026-106382, CVSS 9.6). Ein entfernter Angreifer kann durch eine präparierte HTML-Seite beliebigen Code ausserhalb der Browser-Sandbox ausführen. Für den Angriff ist keine Authentifizierung nötig, das Opfer muss die Seite jedoch öffnen; daher sind Drive-by-Links und schädliche Werbung das Hauptrisiko.
Betroffen
- Google Chrome vor 155.0.8059.39 (Linux)
- Google Chrome vor 155.0.8059.39/.40 (Windows, macOS)
- Chromium-basierte Builds mit der betroffenen Komponente, zum Beispiel Microsoft Edge vor 155.0.4283.62 (laut HKCERT)
Behoben in
- Google Chrome 155.0.8059.39 (Linux) und 155.0.8059.39/.40 (Windows, macOS)
- Neuere Chrome-155-Point-Releases enthalten die Korrektur ebenfalls; die neueste stabile Version verwenden
- Microsoft Edge 155.0.4283.62 oder neuer
- Debian: 155.0.8059.39-1~deb12u1
Umgehung
- Keine bekannte Workaround-Massnahme des Herstellers. Das Aktualisieren ist die Korrektur.
- Unbekannt, ob das Deaktivieren von Cast-Funktionen die Exponierung verringert.
Ausnutzung
- Google meldet keine aktive Ausnutzung.
- Der CISA-ADP-Vulnrichment-Eintrag markiert die CVE nicht als bekanntermassen ausgenutzt. Der CISA-KEV-Katalog wurde nicht direkt geprüft.
- Kein öffentlicher Proof of Concept gefunden. Dies belegt nicht, dass keiner existiert.
Unsere Empfehlung
- Google Chrome, Microsoft Edge und alle anderen Chromium-basierten Browser auf allen Endgeräten auf die neueste stabile Version aktualisieren.
- Prüfen, ob automatische Updates funktionieren, und die installierte Version auf jedem Arbeitsplatz verifizieren.
- Die weiteren kritischen Korrekturen von Chrome 155 in dieselbe Prüfung einbeziehen.
- Benutzer bis zur vollständigen Patchung vor dem Öffnen unbekannter Links und Werbung warnen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- HKCERT: Google Chrome multiple vulnerabilities www.hkcert.org
- HKCERT: Microsoft Edge multiple vulnerabilities www.hkcert.org
- OSV: Debian CVE-2026-106382 osv.dev
- Chromegeek: Chrome 155 stable security update www.chromegeek.com
- SecurityWeek: Chrome 155 update patches 247 vulnerabilities www.securityweek.com
- HOL Guard: CISA ADP Vulnrichment record hol.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 23:12.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.