Google Chrome: Use after free in PDF-Rendering ermöglicht Code-Ausführung in Sandbox
Zusammenfassung
Eine Use-after-free-Schwachstelle in der PDF-Komponente von Google Chrome vor 155.0.8059.39 erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Für die Ausnutzung muss das Opfer eine präparierte HTML-Seite öffnen, zum Beispiel über Phishing oder eine bösartige Website. Google stuft den Chromium-Sicherheitsschweregrad als High ein, der CVSS-Basiswert beträgt 8.8; die CVE-Beschreibung dokumentiert keine Sandbox-Flucht.
Betroffen
- Google Chrome vor 155.0.8059.39 (Windows und Mac: vor 155.0.8059.39/.40 gemäss Herstellerhinweis; Linux: vor 155.0.8059.39)
- Chromium-basierte Browser, die den Fix übernehmen, etwa Microsoft Edge vor 155.0.4283.62 (Desktop)
- Chromium-Pakete von Linux-Distributionen vor den korrigierten Versionen
Behoben in
- Google Chrome 155.0.8059.39 oder neuer (155.0.8059.40 unter Windows und Mac, wo verfügbar), veröffentlicht am 6. Oktober 2026
- Microsoft Edge 155.0.4283.62 oder neuer (Desktop)
- Debian: 155.0.8059.39-1~deb12u1 und 155.0.8059.39-1~deb13u1
- SUSE: chromium 155.0.8059.39
Umgehung
- Die korrigierte Version installieren; nach dem Update ist kein Workaround nötig.
- Nicht durch den Hersteller bestätigter Hinweis eines Drittanbieters: den eingebetteten PDF-Viewer deaktivieren oder das PDF-Rendering bis zum Patch blockieren.
Ausnutzung
- Laut MS-ISAC bis 7. Oktober 2026 keine Ausnutzung in freier Wildbahn gemeldet.
- Nicht im CISA-KEV-Katalog aufgeführt.
- Kein öffentlicher Exploit gefunden; VulDB stuft die Ausnutzung als einfach ein, was eine Einschätzung und kein Nachweis einer Ausnutzung ist.
- Details zu einer möglichen Sandbox-Flucht: Unbekannt.
Unsere Empfehlung
- Prüfen, dass Chrome auf allen Arbeitsstationen, einschliesslich BYOD-Geräten, auf 155.0.8059.39 oder neuer ist (unter Windows und Mac wo verfügbar 155.0.8059.40).
- Prüfen, dass Edge auf 155.0.4283.62 oder neuer und Linux-Systeme auf ihren korrigierten Paketversionen sind.
- Die verwaltete Flotte auf veraltete Installationen prüfen und automatische Updates durchsetzen.
- Benutzende schulen, keine unbekannten Links und Websites zu öffnen, da der Angriff auf einer präparierten HTML-Seite beruht.
- Auf Berichte über Ausnutzung achten und bei einer Statusänderung erneut bewerten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- Debian OSV record osv.dev
- MS-ISAC / CIS advisory www.cisecurity.org
- HKCERT Microsoft Edge security bulletin www.hkcert.org
- CISA ADP Vulnrichment (via HOL Guard) hol.org
- SUSE CVE record (via Vulners) vulners.com
- OffSeq Radar threat entry radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 21:43.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.