Google Chrome: Speicherbeschädigung in Sync erlaubt Codeausführung in Sandbox
Zusammenfassung
Google-Chrome-Desktopversionen vor 156.0.8078.47 enthalten eine Speicherbeschädigung in der Komponente Sync, die Lesezeichen, Verlauf und Einstellungen mit einem Google-Konto synchronisiert. Ein Angreifer aus dem Netzwerk kann durch einen präparierten HTML-Seite beliebigen Code innerhalb der Browser-Sandbox ausführen, sofern ein Benutzer dazu verleitet wird, die Seite zu öffnen. Die Ausnutzung erfordert eine Benutzerinteraktion, und die öffentliche Meldung beschreibt keine Sandbox-Flucht. Google stuft den Schweregrad in Chromium als Niedrig ein, der CVSS-Basiswert beträgt 8.8.
Betroffen
- Google-Chrome-Desktopversionen vor 156.0.8078.47
- Microsoft Edge (Chromium-basiert) ist laut den Recherchenotizen ebenfalls betroffen; gegen die Advisory von Microsoft prüfen
Behoben in
- Chrome-156-Stable-Version vom 20. Oktober 2026, Build 156.0.8078.47 oder neuer (je nach Plattform unterschiedlich: .47 oder .48 unter Windows und macOS)
- Seither sind neuere Stable-Builds erschienen; die aktuelle Stable-Version bereitstellen
- Debian hat laut einer Drittquelle Korrekturen für chromium veröffentlicht (DSA 6577-1, DLA 4853-1); das Ubuntu-Paket chromium-browser ist ein Wrapper, der das Chromium-Snap installiert, daher die Snap-Revision prüfen
Umgehung
Keine bekannte Workaround-Massnahme. Die Aktualisierung von Chrome und Edge ist die Gegenmassnahme.
Ausnutzung
- Ausnutzung in freier Wildbahn: Unbekannt. In den geprüften Quellen nicht gefunden.
- Öffentlicher Proof of Concept: Keiner gefunden.
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Chrome- und Edge-Versionen auf allen Endgeräten erfassen und alles unterhalb von 156.0.8078.47 markieren.
- Auf die aktuelle Stable-Version aktualisieren und sicherstellen, dass die automatische Aktualisierung aktiviert ist, oder das Update über MDM oder Gruppenrichtlinien verteilen.
- Benutzer daran erinnern, keine unbekannten Links zu öffnen.
- Den CISA-KEV-Katalog und die Chrome-Release-Seite in etwa einer Woche erneut auf Änderungen des Ausnutzungsstatus prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- Microsoft Security Update Guide msrc.microsoft.com
- Vulners CVE listing (NVD) vulners.com
- Ubuntu CVE tracker ubuntu.com
- Vulners CVE listing (CVELIST) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:11.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.