Google Chrome: Speicherbeschädigung in der Permissions-Komponente
Zusammenfassung
Eine Speicherbeschädigung in der Permissions-Komponente von Google Chrome vor 156.0.8078.47 kann von einem entfernten Angreifer ausgelöst werden. Besucht ein Benutzer eine präparierte HTML-Seite, kann der Angreifer möglicherweise beliebigen Code ausserhalb der Browser-Sandbox ausführen. Die NVD stuft die Schwachstelle als kritisch ein (CVSS 9.6), während Google den Chromium-Sicherheitsschweregrad als mittel bewertet; es ist keine Authentifizierung nötig, wohl aber eine Interaktion des Benutzers.
Betroffen
- Google Chrome vor 156.0.8078.47
- Der offizielle CVE-Eintrag nennt einen widersprüchlichen Versionsbereich, daher sind die genau betroffenen Builds je Plattform unbekannt.
Behoben in
- Google Chrome 156.0.8078.47 gemäss CVE-Beschreibung.
- Sekundäre Berichte nennen 156.0.8078.48 für Windows und macOS. Den genauen Build im Chrome-Releases-Beitrag bestätigen.
Umgehung
- Unbekannt. Es ist kein Workaround dokumentiert; Chrome aktualisieren.
Ausnutzung
- Zum Zeitpunkt der Recherche ist keine Ausnutzung in freier Wildbahn bekannt.
- Nicht im CISA-KEV-Katalog aufgeführt.
- CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
- Kein öffentlicher Proof-of-Concept gefunden.
Unsere Empfehlung
- Chrome auf allen Endgeräten auf 156.0.8078.47 oder neuer aktualisieren, unter Windows und macOS auf .48 oder neuer, sofern der Hersteller dies bestätigt.
- Den Browser nach dem Update neu starten, damit die neue Version wirksam wird.
- Mobile Chrome-Versionen separat prüfen.
- CISA KEV und den Chromium-Bugtracker auf Statusänderungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry 553394270 issues.chromium.org
- GitHub Security Advisory GHSA-mrr9-4cc7-jxfm github.com
- Vulners CVE record CVE-2026-113007 vulners.com
- WindowsForum: Chrome 156 security update windowsforum.com
- HKCERT security bulletin (Microsoft Edge, Chromium-based) www.hkcert.org
- VulDB entry 423070 vuldb.com
- GitHub issue astruzocyber/CVE 2684 (CISA KEV status) github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 22:42.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.