Google Chrome: Unzureichende Eingabevalidierung in GPU-Komponente erlaubt Code-Ausführung in Sandbox
Zusammenfassung
Google Chrome vor 156.0.8078.47 enthält in der GPU-Komponente eine unzureichende Eingabevalidierung. Ein entfernter Angreifer kann eine präparierte HTML-Seite erstellen, die zur Ausführung beliebigen Codes innerhalb der Browser-Sandbox führen kann. Die Ausnutzung erfordert, dass das Opfer die schädliche Seite besucht; Berechtigungen sind keine nötig.
Betroffen
- Google Chrome Desktop-Versionen vor 156.0.8078.47
- Chromium-basierte Browser mit demselben Code, etwa Microsoft Edge (eigene Advisories prüfen)
Behoben in
- Google Chrome 156.0.8078.47 oder neuer (Windows- und macOS-Builds 156.0.8078.47 oder .48, je nach Kanal)
- Android: Chrome 156.0.8078.47 als behoben gemeldet
- Debian hat Chromium-Updates veröffentlicht; genaue Paketversionen unbekannt
- Ubuntu-Paket chromium-browser (Snap-Wrapper) als nicht betroffen gelistet
Umgehung
- Unbekannt. Es ist kein Workaround dokumentiert; das Aktualisieren des Browsers ist die praktische Massnahme.
Ausnutzung
- Ausnutzung in freier Wildbahn: keine Hinweise gefunden.
- Öffentlicher Proof of Concept: keiner gefunden.
- CISA KEV: Ein Drittanbieter-Tracker meldet keinen Eintrag; nicht bei CISA verifiziert.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Prüfen Sie, dass alle Desktop- und Android-Installationen von Chrome mindestens 156.0.8078.47 sind.
- Starten Sie den Browser nach dem Update neu, da das Update erst dann abgeschlossen ist.
- Prüfen Sie Edge und andere Chromium-basierte Browser auf eigene Updates.
- Verifizieren Sie die Versionen über chrome://version oder Ihre MDM-/Update-Konsole.
- Spielen Sie die gesamte Chrome-156-Version ein, die 353 Korrekturen enthält.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- Microsoft MSRC update guide msrc.microsoft.com
- Ubuntu security tracker ubuntu.com
- Vulners CVE record (CVELIST) vulners.com
- Cybersecurity News: Chrome security update fixing 353 flaws cybersecuritynews.com
- Penligent: Chrome 156 security update www.penligent.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:03.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.