Google Chrome: Integer-Überlauf in der Media-Komponente
Zusammenfassung
Ein Integer-Überlauf (CWE-190) in der Media-Komponente von Google Chrome vor 155.0.8059.39 kann durch eine präparierte HTML-Seite ausgelöst werden. Ein entfernter Angreifer kann möglicherweise Code ausserhalb der Browser-Sandbox ausführen. Dafür muss ein Benutzer die bösartige Seite besuchen, und für die Codeausführung ausserhalb der Sandbox ist typischerweise eine Verkettung mit einer weiteren Browser-Schwachstelle nötig. NVD bewertet die Schwachstelle mit 9.6 (Critical), während Google sie im eigenen Chromium-Schweregrad als Low einstuft.
Betroffen
- Google Chrome vor 155.0.8059.39 (gemäss CVE-Eintrag)
- Genaue Grenze der Build-Versionen für Windows und macOS: in der offiziellen Chrome-Advisory zu bestätigen
Behoben in
- Google Chrome 155.0.8059.39 oder neuer (Linux)
- Google Chrome 155.0.8059.39/.40 oder neuer (Windows und macOS, gemäss einer Drittquelle zur Herstellermeldung; nicht direkt verifiziert)
- Aktuelle stabile Chrome-Version wird empfohlen, da später weitere Releases folgten
Umgehung
Unbekannt. Im CVE-Eintrag wird kein Workaround aufgeführt. Die Aktualisierung von Chrome ist die Massnahme.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total
- Nicht im CISA-KEV-Katalog aufgeführt
- Kein öffentlicher Proof of Concept und keine Exploit-Berichte gefunden; dies beweist nicht, dass keine existieren
Unsere Empfehlung
- Chrome auf allen Arbeitsplätzen auf die aktuelle stabile Version aktualisieren und den Browser nach dem Update neu starten
- Verwaltete Geräte auf veraltete Chrome-Versionen prüfen, auch nicht verwaltete Installationen
- Chromium-basierte Anwendungen und Linux-Systeme mit Distributionspaketen (z. B. das Paket chromium) auf Updates prüfen
- Arbeitsplätze mit unkontrolliertem Web-Browsing priorisieren; Server ohne Browser haben ein geringes Risiko
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- OpenCVE: CVE-2026-106417 app.opencve.io
- HKCERT security bulletin: Google Chrome multiple vulnerabilities www.hkcert.org
- Vulners: MS:CVE-2026-106417 vulners.com
- Chrome 155.0.8059.79/.80 security fixes (WindowsForum) windowsforum.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 23:10.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.