Google Chrome: Use-after-free in Animation ermöglicht Codeausführung in Sandbox
Zusammenfassung
Eine Use-after-free-Schwachstelle in der Komponente Animation von Google Chrome erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Das Opfer muss dazu eine präparierte HTML-Seite öffnen, und es sind keine Berechtigungen erforderlich. Die Sandbox ist eine eigenständige Schutzebene, weshalb diese Schwachstelle allein keine vollständige Kontrolle über das System ermöglicht.
Betroffen
- Google Chrome vor 156.0.8078.47 (laut NVD-Beschreibung)
- Widersprüchliche Drittquellen: VulDB nennt bis 155.0.8059.84. Nicht gegen die Herstellermeldung geprüft.
Behoben in
- Google Chrome 156.0.8078.47 oder neuer für Windows, macOS und Linux, laut Drittquellen
- Die neueste Stable-Version installieren, da es auch spätere Stable-Versionen gibt.
Umgehung
Unbekannt. Kein Workaround des Herstellers gefunden. Die Installation der korrigierten Version ist die Massnahme.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof-of-Concept gefunden. Status unbekannt statt bestätigt nicht vorhanden.
- Ein Community-Tracker führt die CVE als nicht in CISA KEV. Nicht gegen den Katalog geprüft.
Unsere Empfehlung
- Google Chrome auf allen Arbeitsstationen auf die neueste Stable-Version aktualisieren.
- Die Version auf verwalteten Geräten prüfen, auch auf Geräten mit fixierter Version oder deaktivierten Updates.
- Chromium-basierte Produkte (Edge, Brave usw.) und Linux-Distributionspakete separat anhand der jeweiligen Herstellermeldungen prüfen.
- Arbeitsstationen mit Webzugriff priorisieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- Microsoft MSRC update guide msrc.microsoft.com
- Vulners CVE record vulners.com
- VulDB entry vuldb.com
- Strix CVE record www.strix.ai
- Ubuntu security tracker ubuntu.com
- Chrome 156 stable update overview browserhow.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:12.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.