Google Chrome: Speicherverfälschung in DevTools ermöglicht Code-Ausführung in Sandbox
Zusammenfassung
Eine Speicherverfälschung (CWE-119) in der Komponente DevTools von Google Chrome erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Der Angreifer muss einen Benutzer dazu bringen, eine präparierte HTML-Seite zu öffnen, daher ist eine Benutzerinteraktion nötig, und die Beschreibung begrenzt die Auswirkung auf die Sandbox. NVD bewertet die Lücke mit 8.8 (hoch), während Chromium sie als niedrig einstuft.
Betroffen
- Google Chrome vor 156.0.8078.47 (gemäss CVE-Beschreibung)
- Sekundäre Quellen nennen Builds .47 oder .48 für Windows und macOS; gegen die Herstellermeldung prüfen
- Microsoft Edge ist in einer Meldung von HKCERT mit der korrigierten Version 156.0.4314.42 aufgeführt; nicht durch Microsoft bestätigt
Behoben in
- Google Chrome 156.0.8078.47 (Linux); 156.0.8078.47 oder .48 (Windows, macOS), gemäss sekundären Quellen
- Herstellermeldung: Chrome Releases, Stable Channel Update for Desktop, 20. Oktober 2026
Umgehung
- Unbekannt. Es ist in den Quellen keine Herstellerumgehung dokumentiert; Update einspielen.
- Nicht verifiziert: Die Einschränkung von DevTools über die Chrome-Enterprise-Richtlinie DeveloperToolsAvailability könnte die Exposition auf verwalteten Geräten verringern. Verhalten der Richtlinie zuerst in der Dokumentation von Google prüfen.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn (nicht im CISA-KEV-Katalog gelistet, gemäss einem sekundären Tracker).
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
- VulDB meldet keine öffentlichen technischen Details und keinen öffentlichen Exploit.
Unsere Empfehlung
- Chrome-Versionen auf allen Desktops erfassen, einschliesslich Windows- und macOS-Geräten mit Build .47 oder .48.
- Chrome auf 156.0.8078.47 oder neuer (Linux) bzw. den passenden Build für Windows und macOS aktualisieren und den Browser vollständig neu starten.
- Microsoft Edge und andere Chromium-basierte Browser sowie Linux-Distributionspakete gegen die jeweiligen Herstellermeldungen prüfen.
- Diesen Patch priorisieren; es handelt sich nicht um einen Notfall, da keine Ausnutzung bekannt ist und Benutzerinteraktion nötig ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- NVD record via Vulners vulners.com
- VulDB entry 424121 vuldb.com
- Ubuntu CVE tracker ubuntu.com
- Hong Kong CERT bulletin on Microsoft Edge www.hkcert.org
- Chrome 156 security update overview (Cybersecurity News) cybersecuritynews.com
- Chrome 156 security update overview (GBHackers) gbhackers.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:03.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.