Google Chrome: Use-after-free in Media-Komponente
Zusammenfassung
Google Chrome auf dem Desktop vor 155.0.8059.79 enthält eine Use-after-free-Schwachstelle in der Media-Komponente. Ein entfernter Angreifer kann sie ausnutzen, indem er einen Benutzer auf eine präparierte HTML-Seite lockt; dadurch kann beliebiger Code innerhalb der Sandbox des Browsers ausgeführt werden. Der Benutzer muss die Seite besuchen, Berechtigungen sind nicht nötig. Ein Ausbruch aus der Sandbox wird im Advisory nicht beschrieben.
Betroffen
- Google Chrome auf dem Desktop vor 155.0.8059.79
- Ubuntu: Das Paket chromium-browser ist als nicht betroffen markiert, da es den Chromium-Snap installiert
Behoben in
- Google Chrome 155.0.8059.79 oder neuer (Windows und Mac 155.0.8059.79/.80, Linux 155.0.8059.79)
- Debian: 155.0.8059.79-1~deb12u1
- Ubuntu: Chromium-Snap aktualisieren
Umgehung
Unbekannt. Es ist kein Workaround dokumentiert; ein Update ist die einzige Gegenmassnahme in den Quellen.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden; nicht gegen den CISA-KEV-Katalog verifiziert.
- Kein öffentlicher Proof of Concept für diese CVE gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Chrome auf 155.0.8059.79 oder neuer aktualisieren, vorzugsweise auf den aktuellen stabilen Build.
- Die installierte Version auf allen Endgeräten prüfen, einschliesslich Chromium-basierter Browser und Ubuntu-Snaps.
- Sicherstellen, dass automatische Updates funktionieren, und Browser neu starten, damit das Update wirksam wird.
- Auf Meldungen zur Ausnutzung und einen Eintrag im KEV-Katalog achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker 565742182 issues.chromium.org
- Ubuntu CVE-2026-110153 ubuntu.com
- OSV Debian CVE-2026-110153 osv.dev
- Vulners SUSECVE CVE-2026-110153 vulners.com
- Chrome Enterprise update control support.google.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 17:01.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.