Google Chrome: Speicherbeschädigung in Transactions Platform

Zusammenfassung

Google-Chrome-Versionen vor 156.0.8078.47 enthalten eine Speicherbeschädigung (CWE-119) in der Komponente Transactions Platform. Ein entfernter Angreifer kann durch eine präparierte HTML-Seite möglicherweise beliebigen Code innerhalb der Browser-Sandbox ausführen. Der Angriff erfordert, dass das Opfer die Seite öffnet, und die Sandbox begrenzt die Auswirkungen, sofern keine weitere Sandbox-Umgehung verkettet wird.

Betroffen

• Google Chrome Desktop- und Android-Builds vor 156.0.8078.47
• Widerspruch in den Quellen: Der CVE-Eintrag nennt den betroffenen Bereich "156.0.8078.47 bis < 156.0.8078.47", was widersprüchlich ist; die CVE-Beschreibung nennt vor 156.0.8078.47
• Ubuntu führt seine chromium-browser-Pakete als nicht betroffen (Ubuntu liefert Chromium als Snap aus)
• Debian-Chromium-Pakete haben Updates (DSA 6577-1, DLA 4853-1); Paketversionen nicht verifiziert

Behoben in

• Google Chrome 156.0.8078.47 oder neuer für Linux und Android (gemäss Sekundärberichten)
• Google Chrome 156.0.8078.47 oder neuer für Windows und macOS (Wikipedia nennt 156.0.8078.48; nicht gegen den Hersteller-Beitrag verifiziert)
• Genaue Versionen im Chrome-Releases-Beitrag und in den Debian-Advisories prüfen

Umgehung

• In den Quellen ist keine Workaround-Massnahme dokumentiert.
• Browser-Update installieren und den Browser neu starten, da ein gestaffeltes Update erst nach dem Neustart wirksam werden kann.
• Schutz durch Konfiguration: Unbekannt.

Ausnutzung

• Aktive Ausnutzung in freier Wildbahn: keine Hinweise gefunden.
• Nicht im CISA-KEV-Katalog; EPSS: Unbekannt.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Öffentlicher Proof of Concept: keiner gefunden.
• VulDB schätzt eine Exploit-Preisspanne von USD 5k-25k; dies ist eine Marktschätzung und kein Nachweis für einen verfügbaren Exploit.

Unsere Empfehlung

• Alle Chrome-Installationen auf Desktop und Android auf 156.0.8078.47 oder neuer aktualisieren (156.0.8078.47 oder .48 unter Windows und macOS) und den Browser neu starten.
• Genaue Versionsnummern mit dem Chrome-Releases-Advisory abgleichen.
• Chromium-basierte Browser und Linux-Pakete separat prüfen, da diese eigenen Release-Zyklen folgen.
• Auf Hinweise zur Ausnutzung achten; das Risiko ist für KMU hoch, die nicht zeitnah patchen, da Mitarbeitende standardmässig im Web surfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
• Chromium issue tracker entry issues.chromium.org
• VulDB entry CVE-2026-113008 vuldb.com
• Ubuntu security CVE-2026-113008 ubuntu.com
• Strix CVE-2026-113008 www.strix.ai
• Vulners MS:CVE-2026-113008 (Debian DSA/DLA listing) vulners.com
• Cybersecurity News: Chrome security update fixing 353 flaws cybersecuritynews.com
• Wikipedia: Google Chrome en.wikipedia.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:01.