Google Chrome: Use after free im DOM erlaubt Codeausführung in Sandbox
Zusammenfassung
Google Chrome vor 155.0.8059.79 enthält eine Use-after-free-Schwachstelle in der DOM-Komponente. Ein entfernter Angreifer kann durch eine präparierte HTML-Seite möglicherweise beliebigen Code innerhalb der Browser-Sandbox ausführen. Der Angriff erfordert, dass das Opfer die bösartige Seite besucht; der CVSS-Wert beträgt 8.8 (hoch).
Betroffen
- Google Chrome vor 155.0.8059.79 (Windows, macOS und Linux)
- Chromium-basierte Browser, die den upstream-Fix noch nicht übernommen haben, sind ebenfalls potenziell betroffen
Behoben in
- Google Chrome 155.0.8059.79 (Linux) und 155.0.8059.79/.80 (Windows und macOS)
- Die neueste Stable-Version installieren, da spätere Versionen den Fix ebenfalls enthalten können
- Debian: 155.0.8059.79-1~deb12u1 für bookworm (DSA 6562-1, DLA 4838-1)
- Ubuntu: Die chromium-browser-Pakete sind nicht betroffen, da sie den Chromium-Snap installieren
Umgehung
- Unbekannt: Es wurde keine von Google veröffentlichte Zwischenlösung gefunden
- Browser aktualisieren; andere Workarounds sind nicht verfügbar
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn laut CISA ICS-CERT
- Laut den neuesten gefundenen Daten nicht im CISA-KEV-Katalog aufgeführt
- Kein öffentlicher Proof of Concept gefunden
- Laut Drittanbieter-Trackern niedriger EPSS-Wert (etwa 0.2%)
Unsere Empfehlung
- Google Chrome auf 155.0.8059.79 oder neuer aktualisieren, vorzugsweise auf die neueste Stable-Version
- Prüfen, ob alle verwalteten Geräte aktualisiert sind, einschliesslich Microsoft Edge und anderer Chromium-basierter Browser
- Browser nach dem Update neu starten, da Neustarts oft verzögert werden
- Die Update-Kanal-Verwaltung von Chrome Enterprise nutzen, um zeitnahe Updates durchzusetzen
- Benutzer darauf hinweisen, keine Links aus unbekannten Quellen zu öffnen und bei Phishing-E-Mails vorsichtig zu sein
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker 568730794 issues.chromium.org
- Ubuntu security CVE-2026-110164 ubuntu.com
- Debian OSV record CVE-2026-110164 osv.dev
- Malwarebytes: Chrome fixes 37 security flaws www.malwarebytes.com
- CISA ICS advisory on Google Chrome vulnerabilities www.cisecurity.org
- Chrome Enterprise update management support.google.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 16:57.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.