Google Chrome: Sandbox-Ausbruch durch unzureichende Eingabevalidierung in Extensions
Zusammenfassung
Eine unzureichende Eingabevalidierung in der Komponente Extensions von Google Chrome für Desktop erlaubt einem entfernten Angreifer, potenziell beliebigen Code ausserhalb der Browser-Sandbox auszuführen. Voraussetzung ist, dass ein Opfer eine präparierte HTML-Seite öffnet, zum Beispiel über einen Link in E-Mail oder Chat. Die NVD bewertet die Schwachstelle mit CVSS 9.6 (kritisch), während Chromium sie als niedrig einstuft, weshalb die Einstufung mit der Herstellerangabe abgeglichen werden sollte.
Betroffen
- Google Chrome für Desktop (Windows, macOS, Linux) vor 156.0.8078.47
- Die Quellen unterscheiden sich bei den genauen Builds für Windows und macOS; 156.0.8078.47 gilt als Mindestversion.
Behoben in
- Google Chrome 156.0.8078.47 oder neuer (Linux)
- Google Chrome 156.0.8078.47 oder neuer, idealerweise 156.0.8078.48 (Windows, macOS)
- Chromium-basierte Browser wie Microsoft Edge erhalten die Korrektur über ihre eigenen Updates.
Umgehung
- Unbekannt. Es ist kein Workaround des Herstellers bekannt; das Aktualisieren von Chrome ist die erforderliche Korrektur.
Ausnutzung
- Eine Ausnutzung in freier Wildbahn ist nicht bestätigt. Der Status im CISA-KEV-Katalog sollte direkt geprüft werden.
- Im Rahmen der Recherche wurde kein öffentlicher Proof-of-Concept gefunden.
- CISA-SSVC-Bewertung: Ausnutzung none, automatisierbar no, technische Auswirkung total.
Unsere Empfehlung
- Chrome auf allen Desktops auf 156.0.8078.47 oder neuer aktualisieren und die installierte Version prüfen, nicht nur die Update-Meldung.
- Chromium-basierte Browser wie Microsoft Edge gleichzeitig patchen.
- Linux-Systeme prüfen, die Chromium als Snap installieren, und den Snap separat aktualisieren.
- Automatische Updates erzwingen und auf verwalteten Geräten einschränken, welche Browser-Erweiterungen laufen dürfen.
- Arbeitsplätze mit gemeinsamer Nutzung oder Administratorrechten priorisieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- Ubuntu security tracker CVE-2026-113023 ubuntu.com
- NVD record as mirrored by Vulners vulners.com
- Cybersecurity News: Chrome security update fixing 353 flaws cybersecuritynews.com
- Windows Forum: Chrome 156 security update windowsforum.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 22:40.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.