Google Chrome: Use-after-free in der Media-Komponente
Zusammenfassung
Google-Chrome-Desktopversionen vor 155.0.8059.79 enthalten eine Use-after-free-Schwachstelle (CWE-416) in der Media-Komponente. Ein entfernter Angreifer kann durch eine präparierte HTML-Seite beliebigen Code innerhalb der Browser-Sandbox ausführen. Das Opfer muss die Seite besuchen, und die NVD-Beschreibung meldet keine Sandbox-Flucht. Google stuft den Chromium-Sicherheitsschweregrad als High ein, und die NVD führt einen CVSS-3.1-Basiswert von 8.8.
Betroffen
- Google-Chrome-Desktopversionen vor 155.0.8059.79
- Debian 12 (bookworm) chromium: behoben in 155.0.8059.79-1~deb12u1
- Ubuntu chromium-browser-Pakete: als nicht betroffen markiert, da sie das Chromium-Snap installieren, das separat aktualisiert werden muss
Behoben in
- Google Chrome 155.0.8059.79 und neuer (Stable-Channel-Update vom 13. Oktober 2026)
- Debian 12: 155.0.8059.79-1~deb12u1
Umgehung
Keine Workaround des Herstellers bekannt. Das Aktualisieren ist die Behebung.
Ausnutzung
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total
- Sekundäre Quellen melden, dass die Schwachstelle nicht im CISA-KEV-Katalog steht; nicht unabhängig verifiziert
- Keinen öffentlichen Proof of Concept gefunden, laut sekundären Quellen
- Gemeldet von Xinyang Ge, 6. Oktober 2026
Unsere Empfehlung
- Google Chrome auf allen Desktop-Systemen, einschliesslich Linux und macOS, auf 155.0.8059.79 oder neuer aktualisieren
- Das Chromium-Snap auf Ubuntu-Systemen und die Chromium-Pakete von Debian aktualisieren
- Prüfen, dass die automatische Aktualisierung funktioniert und nicht durch Richtlinien blockiert wird
- Sicherstellen, dass Browser nach dem Update neu gestartet werden (Relaunch), da das Update erst danach wirksam wird
- Andere Chromium-basierte Browser (z. B. Edge oder Brave) auf eigene Herstellerupdates prüfen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker 570461696 issues.chromium.org
- OSV: DEBIAN-CVE-2026-110167 osv.dev
- Ubuntu security tracker CVE-2026-110167 ubuntu.com
- Malwarebytes: Update Chrome security flaws October 2026 www.malwarebytes.com
- Google Chrome Enterprise: Extended Stable channel support.google.com
- TheHackerWire: CVE-2026-110167 www.thehackerwire.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 16:58.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.