Google Chrome: Use-after-free in Desktop erlaubt Codeausführung in Sandbox
Zusammenfassung
Eine Use-after-free-Schwachstelle (CWE-416) in der Desktop-Komponente von Google Chrome vor 155.0.8059.79 erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Dafür muss ein Benutzer nur eine präparierte HTML-Seite öffnen, daher kann jede Website ein Angriffsweg sein. Der CVSS-Basiswert beträgt 8.8; gemäss den SSVC-Daten von CISA ist die Ausnutzung nicht automatisierbar und die technische Auswirkung total.
Betroffen
- Google Chrome Desktop (Windows, macOS, Linux) vor 155.0.8059.79
- Ubuntu-Paket chromium-browser: als nicht betroffen markiert (stattdessen wird der Chromium-Snap installiert)
Behoben in
- Google Chrome 155.0.8059.79 oder neuer (Linux)
- Google Chrome 155.0.8059.79 oder neuer, 155.0.8059.80 unter Windows und macOS (gemäss Drittquellen zum Herstellerupdate)
- Debian 12 Chromium: 155.0.8059.79-1~deb12u1
- Chromium-Snap: auf den aktuellen Build aktualisieren
Umgehung
- Kein Workaround nötig, da ein Patch verfügbar ist. Das Aktualisieren von Chrome ist die Massnahme.
- Administratoren können den Zeitpunkt der Verteilung über die Release-Kanal-Einstellungen von Chrome Enterprise steuern.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
- Gemäss einer Drittquelle nicht im CISA-KEV-Katalog; der Katalog sollte direkt geprüft werden.
- EPSS 0.22% gemäss einer Drittquelle.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Prüfen, dass jede Chrome-Installation mit 155.0.8059.79 oder neuer läuft (unter Windows und macOS mit 155.0.8059.80).
- Bei Linux-Systemen prüfen, ob das Debian-Paket oder der aktualisierte Chromium-Snap installiert ist.
- Die Browserversion im gesamten Bestand prüfen, besonders auf nicht verwalteten Geräten, die lange geöffnet bleiben.
- Den Ausnutzungsstatus regelmässig im CISA-KEV-Katalog und in den Herstellerhinweisen überprüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry 540499008 issues.chromium.org
- OSV: Debian CVE-2026-110162 osv.dev
- Ubuntu Security: CVE-2026-110162 ubuntu.com
- Malwarebytes: Chrome update fixes 37 security flaws www.malwarebytes.com
- Chrome Enterprise release channel documentation support.google.com
- GitHub: third-party CVE tracking issue (EPSS, KEV status) github.com
- SUSE CVE via Vulners: CVE-2026-110162 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 16:56.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.