Google Chrome: Speicherfehler in IME ermöglicht Codeausführung in Sandbox
Zusammenfassung
Google Chrome vor 156.0.8078.47 enthält einen Speicherfehler in der Input Method Editor (IME) Komponente. Ein entfernter Angreifer kann durch eine präparierte HTML-Seite möglicherweise beliebigen Code innerhalb der Browser-Sandbox ausführen. Es sind keine Benutzerrechte erforderlich, das Opfer muss die schädliche Seite jedoch besuchen.
Betroffen
- Google Chrome Versionen vor 156.0.8078.47
- Auf Chromium basierende Browser, die den Fix übernehmen, können ebenfalls betroffen sein (zum Beispiel Microsoft Edge; betroffene Builds gemäss Herstellereintrag prüfen)
Behoben in
- Google Chrome 156.0.8078.47 oder neuer (neueste Stable-Version installieren; laut Sekundärquellen existiert ein späteres Stable-Update auf 156.0.8078.79/.80 für Windows und Mac)
- Linux-Distributionen: Fixversionen der Pakete gemäss Herstellerhinweisen prüfen
Umgehung
Unbekannt.
Ausnutzung
- Keine Ausnutzung in freier Wildbahn in den geprüften Quellen bekannt
- Laut einem Drittanbieter-Tracker nicht in CISA KEV aufgeführt; EPSS unbekannt
- Kein öffentlicher Proof of Concept gefunden
- Chromium-Sicherheitsschweregrad: Medium
Unsere Empfehlung
- Google Chrome auf allen Desktops jetzt auf die neueste Stable-Version aktualisieren und den Browser neu starten, damit das Update wirksam wird
- Prüfen, dass keine Chrome-Instanz mit einer alten Version weiterläuft
- Andere auf Chromium basierende Browser und Linux-Pakete gemäss Herstellerangaben aktualisieren
- Das vollständige Chrome-156-Stable-Release einspielen, da weitere Sicherheitslücken behoben wurden
- Hersteller- und CISA-Meldungen auf Änderungen des Ausnutzungsstatus überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- Microsoft MSRC Update Guide msrc.microsoft.com
- Ubuntu Security Notice ubuntu.com
- NVD mirror (Vulners) vulners.com
- Cyberpress: Chrome update fixes 353 security vulnerabilities cyberpress.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 14:56.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.