Google Chrome: Use-after-free in Media-Komponente erlaubt Codeausführung in Sandbox
Zusammenfassung
Google Chrome vor 155.0.8059.39 enthält eine Use-after-free-Schwachstelle (CWE-416) in der Media-Komponente. Ein entfernter Angreifer kann über eine präparierte HTML-Seite beliebigen Code innerhalb der Sandbox des Browsers ausführen. Es ist kein Konto nötig, der Benutzer muss die bösartige Seite jedoch öffnen. Chromium stuft das Problem als hoher Schweregrad ein.
Betroffen
- Google Chrome Desktop vor 155.0.8059.39 (Linux, Windows und Mac)
- Debian 12 chromium vor 155.0.8059.39-1~deb12u1
- Microsoft Edge: betroffene Schwelle nicht bestätigt, siehe Advisory von Microsoft
Behoben in
- Google Chrome 155.0.8059.39 (Linux)
- Google Chrome 155.0.8059.39 oder 155.0.8059.40 (Windows und Mac)
- Debian 12 chromium 155.0.8059.39-1~deb12u1
- Microsoft Edge: korrigierte Builds laut HKCERT 155.0.4283.62 (Desktop) und 155.0.4283.61 (Android), nicht vom Hersteller bestätigt
Umgehung
- Unbekannt. Keine vom Hersteller empfohlene Massnahme gefunden; die dokumentierte Abhilfe ist das Aktualisieren.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden. CISA ADP Vulnrichment markiert die Schwachstelle nicht als bekannt ausgenutzt; im KEV-Katalog der CISA prüfen.
- Kein öffentlicher Proof of Concept in den durchgeführten Recherchen gefunden (nicht abschliessend).
- EPSS-Score laut Angabe 0.00303.
Unsere Empfehlung
- Prüfen, ob Chrome auf 155.0.8059.39 oder neuer (Mac 155.0.8059.40) bzw. auf einem aktuellen Stable-Build läuft.
- Automatische Updates aktivieren und verwaltete Endgeräte kontrollieren.
- Edge und andere Chromium-basierte Browser separat anhand der Hersteller-Advisories prüfen.
- Das Update priorisieren, da der Browser weit verbreitet ist und über Phishing-Links erreichbar ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- OSV: DEBIAN-CVE-2026-106423 osv.dev
- HKCERT: Microsoft Edge multiple vulnerabilities www.hkcert.org
- CIS Advisory: Multiple vulnerabilities in Google Chrome www.cisecurity.org
- Vulners: CHAINGUARD CVE-2026-106423 vulners.com
- CISA ADP Vulnrichment (secondary aggregator) hol.org
- Google Chrome Enterprise: Extended Stable channel support.google.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 21:43.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.