Google Chrome: Use after Free in der Network-Komponente ermöglicht Codeausführung
Zusammenfassung
Ein Use after Free in der Network-Komponente von Google Chrome vor 155.0.8059.79 kann durch manipulierten Netzwerkverkehr ausgelöst werden. Gemäss CVE-Eintrag kann ein entfernter Angreifer damit beliebigen Code ausserhalb der Browser-Sandbox ausführen. Für den Angriff muss ein Benutzer eine Seite besuchen oder Inhalte laden, eine Anmeldung ist nicht nötig.
Betroffen
- Google Chrome für Windows, Mac und Linux vor 155.0.8059.79
- Chromium-Pakete von Linux-Distributionen, die noch nicht aktualisiert wurden (z. B. Debian chromium vor 155.0.8059.79-1~deb12u1)
- Chrome für Android: unbestätigt, Quellen widersprechen sich
- Ubuntu chromium-browser (Snap-Wrapper): von Ubuntu als nicht betroffen markiert
Behoben in
- Windows und Mac: 155.0.8059.79 oder neuer
- Linux: 155.0.8059.79 oder neuer
- Debian chromium: 155.0.8059.79-1~deb12u1
- Android: unbestätigt, gegen die Google-Mitteilung prüfen
Umgehung
Unbekannt. Es ist keine Massnahme dokumentiert. Browser-Update installieren und Chrome neu starten, da laufende Prozesse die alte Version weiter verwenden können.
Ausnutzung
- Google meldet in seinem Beitrag keine Angriffe in freier Wildbahn (nicht gegen die primäre Mitteilung geprüft)
- Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog aufgeführt
- Kein öffentlicher Proof of Concept gefunden
- EPSS-Werte von Drittanbietern sind niedrig
Unsere Empfehlung
- Für verwaltete Flotten als hohe Priorität behandeln.
- Chrome-Version auf allen Windows-, Mac- und Linux-Geräten erfassen und alles unter 155.0.8059.79 markieren.
- Android-Geräte anhand der Google-Mitteilung prüfen.
- Chrome nach dem Update neu starten.
- Sicherstellen, dass Chromium-basierte Browser wie Edge ebenfalls aktualisiert sind.
- Den CISA-KEV-Katalog auf Änderungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- OSV: Debian CVE-2026-110161 osv.dev
- Ubuntu security tracker: CVE-2026-110161 ubuntu.com
- Malwarebytes: Chrome 155 security update www.malwarebytes.com
- Vulners: Nessus entry for CVE-2026-110161 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 22:51.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.