Google hat ein Sicherheitsupdate für Chrome veröffentlicht und eine kritische Use-after-free-Schwachstelle im ServiceWorker mit der Kennung CVE-2025-10200 geschlossen. Parallel wurde auch CVE-2025-10201 im Mojo-Framework behoben. Für die Meldungen zahlte Google im Rahmen des Bug-Bounty-Programms 43.000 US‑Dollar an Looben Yang sowie 30.000 US‑Dollar an Sahan Fernando und einen anonymen Forscher.
Kritische Chrome-Sicherheitsluecke CVE-2025-10200 im ServiceWorker
Use-after-free bezeichnet Zugriffe auf bereits freigegebenen Speicher. In Browsern kann dies bei Aufruf präparierter Webseiten zu ausführbarem, vom Angreifer kontrolliertem Code führen. Besonders heikel ist der Befund in ServiceWorker, da diese Komponente Caching, Offline-Funktionalität und Netzwerkanfragen im Hintergrund steuert und damit eng in den Lebenszyklus von Seiten und Web-Apps eingebunden ist.
Warum Memory-Safety-Fehler weiterhin dominieren
Sogenannte Memory-Safety-Bugs (u. a. Use-after-free, Heap-Overflow) zählen seit Jahren zu den Hauptursachen schwerwiegender Browserlücken. Laut öffentlichen Berichten des Chromium-Sicherheitsteams entfielen zwischen 2020 und 2022 rund 65–70 % der gravierenden Schwachstellen auf diese Kategorie. Der Chrome-Sandbox-Ansatz begrenzt zwar die Auswirkungen einzelner Exploits, ersetzt aber kein schnelles Patch-Management: Je kürzer das Zeitfenster zwischen Patch-Veröffentlichung und Installation, desto geringer die Chance erfolgreicher Angriffsketten.
Zweite Schwachstelle: CVE-2025-10201 in Mojo IPC
Mojo ist Chromes Framework für Inter-Prozess-Kommunikation (IPC) und Basis vieler interner APIs. Implementierungsfehler wie CVE-2025-10201 können Datenintegrität und Isolationsgarantien unterminieren und in Kombination mit anderen Bugs die Auswirkungsstufe erhöhen. Obwohl diese Lücke geringer bewertet ist, ist ihr Fix zentral für ein konsistentes Sicherheitsmodell.
Bug-Bounty als Sicherheitsmotor
Die Vergütungen von 43.000 US‑Dollar und 30.000 US‑Dollar unterstreichen die Rolle von Coordinated Vulnerability Disclosure. Erst kürzlich erhielt der Forscher Micky 250.000 US‑Dollar für eine Sandbox-Umgehung in Chrome – ein Beispiel dafür, wie hohe Prämien die frühzeitige Identifikation von Schwachstellen fördern und das Risiko von 0‑day-Exploits reduzieren.
Welche Chrome-Versionen sind abgesichert und wie aktualisieren
Die Fixes sind in den stabilen Builds enthalten: 140.0.7339.127/.128 für Windows, 140.0.7339.132/.133 für macOS sowie 140.0.7339.127 für Linux. Zum Zeitpunkt der Veröffentlichung lagen keine Hinweise auf aktive Ausnutzung vor. Das Update lässt sich über Menü → Hilfe → Über Google Chrome anstoßen; die Installation wird automatisch heruntergeladen, ein Neustart schließt die Aktualisierung ab.
Auswirkungen und Empfehlungen für Unternehmen und Endnutzer
In realen Angriffsszenarien kann ein Use-after-free im Renderer die Codeausführung in der Sandbox ermöglichen. Für einen vollständigen Systemkompromiss wird oft ein zweiter Fehler zur Sandbox-Eskalation benötigt – ein Risiko, das durch zeitnahe Updates deutlich sinkt. Historische Fälle zeigen, dass n‑day-Exploits nach Patch-Veröffentlichungen teils schnell nachgezogen werden, weshalb beschleunigte Rollouts wichtig sind.
Praxisnahe Härtungsmaßnahmen
Organisationen sollten beschleunigte Update-Wellen einführen, Versionen zentral überwachen, Chrome-Enterprise-Policies für erzwungene Updates und Extension-Governance nutzen. Ergänzend helfen Site Isolation, restriktive Download-Policies und EDR-Telemetrie. Endnutzer minimieren Risiken durch zeitnahe Updates, vorsichtige Plugin-Auswahl und das Meiden fragwürdiger Webseiten.
Wer jetzt auf 140.0.7339.127+ (Windows/Linux) bzw. 140.0.7339.132+ (macOS) aktualisiert, verkürzt das „Fenster der Verwundbarkeit“ und stärkt die Browserresilienz. Automatische Updates aktivieren und den Chrome Releases-Hinweisen folgen – so bleibt die eigene Angriffsoberfläche dauerhaft reduziert.
