Google Chrome: Speicherkorruption in HID-Komponente ermöglicht Codeausführung in Sandbox
Zusammenfassung
Eine Speicherkorruption in der HID-Komponente von Google Chrome vor 156.0.8078.47 kann durch eine manipulierte HTML-Seite ausgelöst werden. Ein Angreifer aus dem Netz kann dadurch beliebigen Code innerhalb der Browser-Sandbox ausführen. Das Opfer muss die schädliche Seite öffnen, es sind jedoch keine Berechtigungen erforderlich. NVD und Microsoft bewerten die Schwachstelle mit CVSS 8.8.
Betroffen
- Google Chrome vor 156.0.8078.47
- Windows und macOS: Versionen vor 156.0.8078.48 (die Quellen unterscheiden sich, siehe Quellen)
- Chromium-basierte Browser, die den betroffenen Code enthalten, etwa Microsoft Edge
- Linux: Chromium-Snap-Pakete unter Ubuntu (das Paket chromium-browser wird als Not affected geführt, weil das Snap verwendet wird)
Behoben in
- Google Chrome 156.0.8078.48 oder neuer für Windows und macOS
- Google Chrome 156.0.8078.47 oder neuer für Linux
- Android: 156.0.8078.47 enthält laut Berichten dieselben Korrekturen
- Upstream: Chromium-Issue 505024593 ist als Fixed markiert
Umgehung
Unbekannt.
Ausnutzung
- Für diese CVE ist keine Ausnutzung in freier Wildbahn bekannt.
- Katalog CISA Known Exploited Vulnerabilities: laut einer Drittquelle nicht aufgeführt; nicht direkt geprüft.
- EPSS-Wert: unbekannt.
- Kein öffentlicher Proof of Concept gefunden; dies beweist jedoch nicht, dass keiner existiert.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Google Chrome auf Windows und macOS auf 156.0.8078.48 oder neuer aktualisieren, unter Linux auf 156.0.8078.47 oder neuer.
- Den Browser nach dem Update neu starten, damit die korrigierte Version aktiv ist.
- Auf Ubuntu-Systemen das Chromium-Snap aktualisieren.
- Microsoft Edge und andere Chromium-basierte Browser aktualisieren.
- Die installierten Versionen auf allen Endgeräten prüfen und für die endgültige Versionsliste das Chrome-Releases-Advisory konsultieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue 505024593 issues.chromium.org
- Microsoft MSRC update guide: CVE-2026-113003 msrc.microsoft.com
- Ubuntu security: CVE-2026-113003 ubuntu.com
- Vulners NVD record: CVE-2026-113003 vulners.com
- TechGeeks: Chrome 156 stable security notice www.techgeeks.org
- GBHackers: Chrome 156 fixes 353 security vulnerabilities gbhackers.com
- Windows Forum: Chrome 156 security update windowsforum.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:08.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.