Google Chrome: Use after free in FileSystem ermöglicht Codeausführung
Zusammenfassung
Ein Use-after-free-Fehler in der Komponente FileSystem von Google Chrome vor 155.0.8059.79 erlaubt einem entfernten Angreifer, beliebigen Code ausserhalb der Browser-Sandbox auszuführen. Der Angreifer muss den Benutzer nur dazu bringen, eine präparierte HTML-Seite zu öffnen, weshalb jede Website, auch eine kompromittierte legitime Seite oder eine schädliche Werbung, als Angriffsweg dienen kann. NVD bewertet die Lücke mit 9.6 (Critical), während Chromium sie als Medium einstuft; der CVSS-Vektor setzt einen Sandbox-Ausbruch voraus, den der Eintrag nicht näher beschreibt.
Betroffen
- Google Chrome vor 155.0.8059.79 (Desktop und Android, gemäss Herstellerangaben)
- Debian-Paket chromium: vor 155.0.8059.79-1~deb12u1
- Ubuntu: chromium-browser gilt als nicht betroffen, weil es als Snap installiert wird; der Snap muss separat aktualisiert werden
Behoben in
- Google Chrome 155.0.8059.79 oder neuer (Stable-Update vom 13. Oktober 2026)
- Chrome 156 ist neuer und sollte als aktuelles Ziel gelten
- Debian: 155.0.8059.79-1~deb12u1
Umgehung
- Für diese CVE ist keine Massnahme veröffentlicht.
- Bis zur Aktualisierung das Surfen auf vertrauenswürdige Seiten beschränken.
- Chrome nach dem Update neu starten, da die Korrektur erst nach einem Neustart aktiv ist.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Es wurden keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; ein sekundärer Bericht gibt an, dass Googles Meldung keine Angriffe in freier Wildbahn nennt (nicht durch Googles Meldung bestätigt).
- Laut einem Tracker-Snapshot nicht im CISA-KEV-Katalog; der Katalog sollte erneut geprüft werden.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Alle Desktop- und Android-Installationen von Chrome prioritär auf den aktuellen Stable-Stand aktualisieren.
- Prüfen, dass Chrome nach dem Update tatsächlich neu gestartet wurde.
- Sicherstellen, dass verwaltete Browser das Update erhalten und Snap-basierte Chromium-Installationen aktualisiert werden.
- Browser-Updates in kurzen Zyklen durchführen und den CISA-KEV-Katalog auf Änderungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- OSV: DEBIAN-CVE-2026-110142 osv.dev
- Ubuntu Security: CVE-2026-110142 ubuntu.com
- Malwarebytes: Chrome 155 fixes 37 security flaws www.malwarebytes.com
- Strix: CVE-2026-110142 www.strix.ai
- SUSE CVE via Vulners: CVE-2026-110142 vulners.com
- GitHub CVE tracker issue 1955 github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 22:54.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.