Google Chrome: Fehlerhafte Referenzauflösung in Extensions unter macOS
Zusammenfassung
Google Chrome unter macOS enthält im Bestandteil Extensions eine fehlerhafte Referenzauflösung (CWE-706). Ein entfernter Angreifer, der bereits den Renderer-Prozess kompromittiert hat, kann mit einer präparierten Chrome-Erweiterung beliebigen Code ausserhalb der Browser-Sandbox ausführen. Der CVSS-Vektor (AC:H, UI:R, S:C) beschreibt einen komplexen Angriff mit Benutzerinteraktion, und die Schwachstelle ist eine Folgestufe und kein eigenständiger Einstiegspunkt.
Betroffen
- Google Chrome unter macOS vor 155.0.8059.79
Behoben in
- Google Chrome 155.0.8059.79 oder neuer für macOS (Googles Stable-Channel-Update vom 13. Oktober 2026 nennt 155.0.8059.79/.80 für Mac; die neueste stabile Version verwenden)
Umgehung
- Unbekannt. Der Hersteller dokumentiert keine Workaround-Massnahme. Das Einspielen des Updates ist die Behebung.
Ausnutzung
- CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
- Laut einem Drittanbieter-Aggregator nicht im CISA-KEV-Katalog (nicht auf der CISA-Website verifiziert).
- EPSS ist niedrig (0,21 % bis 0,298 %, je nach Quelle).
- Kein öffentlicher Proof of Concept gefunden; dies beweist nicht, dass keiner existiert.
- Keine Angabe gefunden, dass die Schwachstelle aktiv ausgenutzt wird.
Unsere Empfehlung
- Chrome auf allen Macs auf die neueste stabile Version aktualisieren.
- Sicherstellen, dass die automatische Aktualisierung auf verwalteten Geräten funktioniert, und Macs prüfen, die seit Mitte Oktober 2026 nicht aktualisiert wurden.
- In verwalteten Umgebungen die Installation von Erweiterungen auf eine genehmigte Liste beschränken.
- Auf unerwartete oder unbekannte Browser-Erweiterungen achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue 561892119 issues.chromium.org
- Ubuntu security notice CVE-2026-110156 ubuntu.com
- Debian OSV entry CVE-2026-110156 osv.dev
- Vulners VulnRichment CVE-2026-110156 vulners.com
- GitHub aggregator issue 1987 (KEV and EPSS data) github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:47.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.