Google Chrome: Speicherauslesen über nicht initialisierte Ressource in WebGL

Zusammenfassung

Eine nicht initialisierte Ressource in der WebGL-Komponente von Google Chrome kann von einem entfernten Angreifer missbraucht werden, um Speicher ausserhalb der Browser-Sandbox auszulesen. Der Angreifer benötigt dazu, dass das Opfer eine speziell präparierte HTML-Seite öffnet. Laut Vektor betrifft die Schwachstelle nur die Vertraulichkeit; Integrität und Verfügbarkeit sind nicht betroffen. Google stuft die Schwachstelle als High ein; der NVD-Score von 4.7 (Medium) befindet sich noch in der Analyse.

Betroffen

• Google Chrome Desktop-Versionen vor 157.0.8103.50 (gemäss CVE-Eintrag und Zusammenfassung des Google-Advisories)
• Die genauen korrigierten Build-Nummern für Windows und Mac sind im Google-Advisory zu prüfen

Behoben in

• Google Chrome 157.0.8103.50 oder neuer (Linux)
• Google Chrome 157.0.8103.50/.51 oder neuer (Windows und Mac, gemäss Sekundärquellen; mit dem Google-Advisory verifizieren)

Umgehung

Unbekannt. Vom Hersteller wird keine Workaround-Lösung für Systeme veröffentlicht, die nicht aktualisiert werden können.

Ausnutzung

• Zum Zeitpunkt der Recherche ist keine Ausnutzung in freier Wildbahn bekannt
• Nicht in der CISA-KEV-Liste aufgeführt
• Kein öffentlicher Proof of Concept gefunden
• Der Zero-Day im selben Release ist CVE-2026-125350 (XML Use-after-Free), nicht diese Schwachstelle

Unsere Empfehlung

• Google Chrome auf allen Desktop-Systemen auf 157.0.8103.50 oder neuer aktualisieren, inklusive Extended-Stable- und Android-Installationen
• Verwaltete Flotten auf fixierte oder verzögerte Chrome-Versionen prüfen
• Build-Nummern vor einer Verwendung mit dem Google-Advisory abgleichen
• Den NVD-Eintrag auf den endgültigen CVSS-Score überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Google Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
• Chromium issue tracker issues.chromium.org
• OpenCVE: CVE-2026-125345 app.opencve.io
• OffSeq Radar: CVE-2026-125345 radar.offseq.com
• Cryptika: Google Chrome 0-day vulnerability www.cryptika.com
• Qualys ThreatPROTECT: Google Chrome patches zero-day (CVE-2026-125350) threatprotect.qualys.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 21:02.