Google Chrome: Use after free in der Media-Komponente
Zusammenfassung
Eine Use-after-free-Schwachstelle in der Media-Komponente von Google Chrome vor 155.0.8059.79 erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Voraussetzung ist, dass das Opfer eine präparierte HTML-Seite öffnet, beispielsweise über einen schädlichen Link, eine E-Mail oder eine kompromittierte Website. Der CVSS-Wert beträgt 8.8 (hoch); NVD und Herstellerdaten stimmen in dieser Bewertung überein.
Betroffen
- Google Chrome vor 155.0.8059.79 (Desktop)
- Debian chromium-Paket 12 vor 155.0.8059.79-1~deb12u1
- Ubuntu chromium-browser: nicht betroffen (Snap-Paket, Snap-Kanal prüfen)
- Chromium-basierte Browser: abhängig vom Hersteller-Build, nicht verifiziert
Behoben in
- Google Chrome 155.0.8059.79 oder neuer (Windows und Mac: 155.0.8059.79/.80, Linux: 155.0.8059.79)
- Debian 12 chromium 155.0.8059.79-1~deb12u1
- Android und ChromeOS: Unbekannt.
Umgehung
- Keine bekannte Workaround-Massnahme. Update einspielen.
Ausnutzung
- Gemäss Drittquellen nicht im CISA-KEV-Katalog aufgeführt; der CISA-KEV-Katalog wurde nicht direkt geprüft.
- Laut Aggregatoren wurde kein öffentlicher Proof of Concept erkannt.
- Es wurden keine Berichte über Ausnutzung in freier Wildbahn gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Prüfen Sie, ob alle Chrome-Installationen auf 155.0.8059.79 oder neuer laufen (155.0.8059.80 unter Windows und Mac, falls dies Ihr Kanal liefert).
- Chromium-basierte Browser sowie Linux-Snap- und Debian-Pakete separat prüfen.
- Stellen Sie sicher, dass das automatische Update aktiviert ist und der Neustart-Schritt nicht blockiert wird.
- Überwachen Sie den Chromium-Bug und den CISA-KEV-Katalog auf Änderungen, da der Bug neu ist.
- Spielen Sie das Update im Rahmen des breiteren Release ein, das 37 Schwachstellen behebt, darunter sieben kritische.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- Ubuntu Security: CVE-2026-110171 ubuntu.com
- OSV: DEBIAN-CVE-2026-110171 osv.dev
- Malwarebytes: Chrome fixes 37 security flaws www.malwarebytes.com
- CVE record mirror (threatint) cve.threatint.com
- Google Chrome Enterprise support: Update Chrome support.google.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 16:55.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.