Google Chrome: Use after free in Browser erlaubt Codeausführung ausserhalb der Sandbox
Zusammenfassung
Eine Use-after-free-Schwachstelle in der Browser-Komponente von Google Chrome vor 155.0.8059.79 erlaubt einem entfernten Angreifer, beliebigen Code ausserhalb der Browser-Sandbox auszuführen. Voraussetzung ist, dass ein Benutzer eine präparierte HTML-Seite aufruft, etwa über eine manipulierte oder kompromittierte Website oder einen Link. Chromium stuft die Schwachstelle als kritisch ein, NVD bewertet sie mit 9.6 (CVSS 3.1).
Betroffen
- Google Chrome vor 155.0.8059.79 (Desktop und Android)
- Debian-Pakete vor 155.0.8059.79-1~deb12u1
- Ubuntu-Paket chromium-browser (deb): als nicht betroffen gelistet (Snap-Kanal und -Version müssen separat geprüft werden)
Behoben in
- Chrome 155.0.8059.79 für Windows, Mac und Linux (Stable-Kanal, 13. Okt. 2026); für Windows und Mac wird zusätzlich 155.0.8059.80 aufgeführt
- Chrome 155.0.8059.79 für Android (am selben Tag)
- Debian: 155.0.8059.79-1~deb12u1
Umgehung
Keine Workaround dokumentiert. Update einspielen und Browser neu starten.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof-of-Concept gefunden.
- Laut einem Drittanbieter-Tracker nicht im CISA-KEV-Katalog; der Katalog wurde nicht direkt geprüft.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Alle Desktop- und Android-Installationen von Chrome mit hoher Priorität auf 155.0.8059.79 oder neuer aktualisieren, besonders auf Arbeitsstationen mit Administratorrechten oder Zugriff auf sensible Daten.
- Die Version im gesamten Bestand über die Management-Konsole oder MDM prüfen und sicherstellen, dass das automatische Update funktioniert.
- Browser nach dem Update neu starten, da das Update erst nach einem Neustart wirksam wird.
- Update dort manuell verteilen, wo die Ausrollung hinterherhinkt.
- Snap-basierte Chromium-Installationen unter Ubuntu separat prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- Debian OSV record osv.dev
- Ubuntu security tracker ubuntu.com
- Malwarebytes: Chrome update fixes 37 security flaws www.malwarebytes.com
- VulDB entry vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 22:53.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.