Google Chrome: Fehlerhafte Berechtigungsprüfung in FileSystem erlaubt Sandbox-Ausbruch

Zusammenfassung

Eine Schwachstelle in der Komponente FileSystem von Google Chrome führt zu einer fehlerhaften Berechtigungsprüfung. Ein entfernter Angreifer kann einen Benutzer durch Social Engineering dazu bringen, eine präparierte HTML-Seite zu öffnen, und so beliebigen Code ausserhalb der Browser-Sandbox ausführen. Der Angriff erfordert eine Interaktion des Benutzers, aber keine Authentifizierung. Google stuft die Schwachstelle als High ein, der im CVE-Datensatz angegebene CVSS-Wert von 9.6 konnte nicht bestätigt werden.

Betroffen

• Google Chrome Desktop vor 157.0.8103.50 (gemäss CVE-Beschreibung)
• Der betroffene Bereich im CVE-Eintrag ist widersprüchlich ("157.0.8103.50 bis < 157.0.8103.50"), daher wird die Beschreibung als Grundlage verwendet

Behoben in

• Linux und Android: 157.0.8103.50 (gemäss Presseberichten)
• Windows und macOS: 157.0.8103.50/.51 (gemäss Presseberichten)
• Extended Stable: unbekannt; es konnte nicht bestätigt werden, dass der separate Build 156.0.8078.96 für Windows und macOS diese Korrektur enthält
• ChromeOS: Zum Zeitpunkt der Recherche war noch kein Stable-Update veröffentlicht, das diese Korrektur auflistet

Umgehung

Unbekannt. Es ist kein Workaround dokumentiert; die einzige Massnahme ist die Installation des Browser-Updates.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable no, Technical Impact total
• Stand 10. November 2026 (Snapshot eines Drittanbieters) ist keine Ausnutzung dieser CVE bekannt, und es wurde kein öffentlicher Proof of Concept gefunden
• CVE-2026-125350 (Use-after-free in XML) ist ein anderer Fehler im selben Release, der nachweislich aktiv ausgenutzt wird

Unsere Empfehlung

• Chrome auf allen Endgeräten auf 157.0.8103.50 oder neuer (Linux, Android) bzw. 157.0.8103.50/.51 oder neuer (Windows, macOS) aktualisieren und die Version unter chrome://version prüfen
• Update über das zentrale Softwareverteilungssystem ausrollen und sicherstellen, dass die Browser neu gestartet werden
• Extended-Stable-Installationen separat prüfen
• Microsoft Edge, Brave und andere Chromium-basierte Browser auf eigene Sicherheitsupdates prüfen
• Chromium-Issue und NVD auf Änderungen beim Ausnutzungsstatus oder CVSS-Wert überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
• Chromium issue tracker issues.chromium.org
• CVE record (threatint) cve.threatint.com
• OffSeq radar: CVE-2026-125347 radar.offseq.com
• Strix: CVE-2026-125347 www.strix.ai
• Malware.news: Update Chrome now to fix a flaw attackers are exploiting malware.news
• The Register: Chrome zero-day whack-a-mole continues www.theregister.com
• ChromeGeek: Chrome zero-day CVE-2026-125350 www.chromegeek.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 22:22.