Google Chrome: Use After Free in Media-Komponente erlaubt Code-Ausführung in Sandbox
Zusammenfassung
Eine Use-after-free-Schwachstelle in der Media-Komponente von Google Chrome vor 156.0.8078.47 erlaubt einem entfernten Angreifer, Code innerhalb der Sandbox auszuführen. Dafür muss das Opfer eine präparierte HTML-Seite öffnen, zum Beispiel über einen Link oder eine Phishing-Nachricht. NVD stuft das Problem mit CVSS 8.8 (High) ein, Chromium mit Medium, und eine Ausnutzung in freier Wildbahn ist nicht bekannt.
Betroffen
- Google Chrome vor 156.0.8078.47 (Desktop)
- Chromium-basierte Browser können betroffen sein; Herstellerhinweise prüfen (z. B. Microsoft Edge)
- Android- und iOS-Versionen: Unbekannt.
Behoben in
- Google Chrome 156.0.8078.47 oder neuer (Linux 156.0.8078.47; Mac/Windows 156.0.8078.47/.48 oder neuer)
- Neuere 156.x-Versionen existieren (berichtet als 156.0.8078.79/.80); die neueste 156.x-Version installieren.
- Ubuntu chromium-browser: Nicht betroffen (Chromium-Snap wird verwendet).
- Debian chromium: Updates veröffentlicht (DSA-6577-1, DLA-4853-1); genaue Paketversionen nicht geprüft.
Umgehung
- Bei installiertem Patch ist kein Workaround nötig.
- Keine vom Hersteller dokumentierte Zwischenlösung gefunden.
- Bei verwalteten Geräten das Update über die Verwaltungswerkzeuge erzwingen, statt sich auf das automatische Update zu verlassen.
Ausnutzung
- CISA KEV: nicht gelistet.
- EPSS: widersprüchliche Angaben (0.00404 oder unbekannt).
- Öffentlicher Proof-of-Concept: keiner gefunden.
- Keine bekannte Ausnutzung.
Unsere Empfehlung
- Prüfen, ob alle Chrome-Installationen 156.0.8078.47 oder neuer, idealerweise die aktuelle 156.x-Version, verwenden.
- Sicherstellen, dass Chromium-basierte Browser (z. B. Edge) ebenfalls aktualisiert sind.
- Endgeräte priorisieren, auf denen Benutzer frei surfen oder Ziel von Phishing sind.
- Verwaltete Geräte mit den Verwaltungswerkzeugen kontrollieren und auf fehlgeschlagene Updates achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- HKCERT security bulletin www.hkcert.org
- Ubuntu CVE tracker ubuntu.com
- Vulners NVD record vulners.com
- Vulners Debian CVE list vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 14:52.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.