Google Chrome: Pufferüberlauf in Animation erlaubt Codeausführung in Sandbox
Zusammenfassung
Google Chrome vor 155.0.8059.79 enthält in der Komponente Animation einen Heap-basierten Pufferüberlauf (CWE-122). Ein entfernter Angreifer kann durch eine präparierte HTML-Seite beliebigen Code innerhalb der Browser-Sandbox ausführen. Der CVE-Eintrag beschreibt keinen Sandbox-Ausbruch, und Chromium stuft das Problem als hoch ein.
Betroffen
- Google Chrome vor 155.0.8059.79
- Andere auf Chromium basierende Browser müssen separat auf ihre eigenen korrigierten Versionen geprüft werden.
Behoben in
- Google Chrome 155.0.8059.79 oder neuer (Debian-Paketdaten nennen 155.0.8059.79-1~deb12u1 für bookworm)
- Neuere stabile Versionen von Chrome sind verfügbar und sollten verwendet werden.
Umgehung
Unbekannt. Es ist kein Workaround des Herstellers bekannt. Das Aktualisieren von Chrome ist die praktische Massnahme.
Ausnutzung
- Gemäss einem Aggregator nicht im CISA-KEV-Katalog aufgeführt (nicht am Katalog selbst überprüft).
- Kein bestätigter öffentlicher Proof of Concept (Quelle mit tiefer Vertrauenswürdigkeit).
- Ausnutzung in freier Wildbahn: Unbekannt.
- CISA-SSVC-Bewertung: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Google Chrome auf allen Endgeräten auf die aktuelle stabile Version aktualisieren.
- Microsoft Edge und andere auf Chromium basierende Browser auf verfügbare Updates prüfen.
- Prüfen, ob verwaltete Geräte die Chrome-Update-Richtlinie anwenden und Browser nach dem Update neu gestartet wurden.
- Auf Meldungen zu aktiver Ausnutzung achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- Ubuntu security notice CVE-2026-110166 ubuntu.com
- OSV entry DEBIAN-CVE-2026-110166 osv.dev
- Vulners MSCVE entry CVE-2026-110166 vulners.com
- Chrome 156 stable release overview www.chromegeek.com
- TheHackerWire CVE-2026-110166 www.thehackerwire.com
- GitHub CVE aggregator issue 1977 github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 16:57.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.