Google Chrome: Use-after-free in Media-Komponente ermöglicht Codeausführung
Zusammenfassung
Ein Use-after-free-Fehler in der Media-Komponente von Google Chrome erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Der Angreifer muss einen Benutzer dazu bringen, eine präparierte HTML-Seite zu öffnen, weshalb jede Browsersitzung bis zur Aktualisierung gefährdet ist. Die Codeausführung beschränkt sich auf die Renderer-Sandbox; eine vollständige Kompromittierung würde normalerweise zusätzlich ein Sandbox-Escape erfordern, das in den Quellen nicht beschrieben wird.
Betroffen
- Google Chrome Versionen vor 155.0.8059.79 (Desktop)
Behoben in
- Google Chrome 155.0.8059.79 oder neuer (gemäss CVE-Eintrag).
- Gemäss den Recherchenotizen listet die Herstellerankündigung für Windows und Mac 155.0.8059.80. Bitte anhand der Herstellerankündigung überprüfen.
- Distributionspakete: Debian hat in 155.0.8059.79-1~deb12u1 (bookworm chromium) behoben. Ubuntu listet das Paket chromium-browser als nicht betroffen, da es die Chromium-Snap installiert; relevant ist das Snap-Update.
Umgehung
- Keine vom Hersteller dokumentierte Workaround-Massnahme. Die Aktualisierung ist die Behebung.
Ausnutzung
- Kein öffentlicher Proof of Concept gefunden. Tenable listet keine bekannten Exploits.
- In den geprüften Quellen wurde keine Ausnutzung in freier Wildbahn gefunden.
- Ein Drittanbieter-Tracker meldet, dass die CVE nicht im CISA-KEV-Katalog geführt wird; dies wurde nicht direkt bei CISA überprüft.
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Google Chrome auf 155.0.8059.79 oder neuer aktualisieren (Windows und Mac: 155.0.8059.80 oder neuer, gemäss Herstellerankündigung) auf allen Arbeitsstationen und Servern mit Browser.
- Die installierte Version auf jedem Endgerät überprüfen, statt sich auf automatische Updates zu verlassen, und den Browser nach dem Update neu starten.
- Browsing-intensive Arbeitsstationen priorisieren.
- Den CISA-KEV-Katalog auf Änderungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- OSV: DEBIAN-CVE-2026-110139 osv.dev
- Ubuntu security notice CVE-2026-110139 ubuntu.com
- Tenable plugin 476095 www.tenable.com
- GitHub CVE tracker issue 1965 (third-party KEV and EPSS data) github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 17:06.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.