Google Chrome: Speicherbeschädigung im Loader erlaubt Codeausführung in Sandbox
Zusammenfassung
Google Chrome enthält eine Speicherbeschädigung in der Komponente Loader. Ein entfernter Angreifer kann durch eine präparierte HTML-Seite beliebigen Code innerhalb der Browser-Sandbox ausführen. Der CVE-Eintrag beschreibt keine Sandbox-Flucht, daher wäre eine vollständige Kompromittierung des Systems eine zusätzliche Schwachstelle nötig. NVD bewertet die Lücke mit CVSS 8.8, Chromium stuft sie als niedrig ein.
Betroffen
- Google Chrome-Versionen vor 156.0.8078.47
Die Build-Nummern pro Plattform widersprechen sich zwischen den Quellen. Das Herstellerdokument prüfen.
Behoben in
- Google Chrome 156.0.8078.47 (erster korrigierter Build gemäss CVE-Text)
- Zuordnung pro Plattform nicht bestätigt: Sekundärquellen nennen für Windows und Mac 156.0.8078.48.
- Es existieren spätere stabile Chrome 156-Builds. Den neuesten stabilen Chrome 156-Build installieren.
- Chromium-basierte Produkte wie Microsoft Edge und Linux-Paketversionen benötigen eigene Updates.
Umgehung
Unbekannt. Es ist keine browserseitige Massnahme dokumentiert. Automatische Updates erzwingen oder Chrome Enterprise-Richtlinien verwenden, um die Version auszurollen und zu prüfen.
Ausnutzung
- CISA KEV: nicht gelistet.
- EPSS: 0.42%.
- Öffentlicher Proof of Concept: keiner gefunden. Status unbekannt.
- Ausnutzung in freier Wildbahn: kein Nachweis gefunden. Der Chromium-Issue-Tracker konnte nicht überprüft werden.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Prüfen, dass alle Endgeräte den neuesten stabilen Chrome 156-Build oder einen neueren Build verwenden.
- Automatische Updates erzwingen und die Update-Compliance zentral überwachen.
- Chromium-basierte Browser (z. B. Microsoft Edge) und Linux-Pakete separat prüfen.
- Endgeräte mit nicht verwalteten oder veralteten Browsern priorisieren, da für den Angriff nur ein Benutzer nötig ist, der eine präparierte Seite öffnet.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- NVD record via Vulners vulners.com
- Debian CVE list via Vulners vulners.com
- Microsoft CVE entry via Vulners vulners.com
- Ubuntu security notice ubuntu.com
- VulDB entry vuldb.com
- Google Chrome (Wikipedia) en.wikipedia.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:04.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.