Google Chrome: Speicherbeschädigung in FileSystem ermöglicht Codeausführung in Sandbox
Zusammenfassung
Der Desktop-Browser Google Chrome enthält eine Speicherbeschädigung (CWE-119) in der Komponente FileSystem. Ein entfernter Angreifer kann mit einer präparierten HTML-Seite beliebigen Code innerhalb der Sandbox des Browsers ausführen. Der Angriff setzt voraus, dass ein Benutzer die manipulierte Seite besucht, zum Beispiel über einen Phishing-Link oder eine schädliche Werbung. Chromium stuft die Schwachstelle als Medium ein, während die NVD sie mit 8.8 (hoch) bewertet.
Betroffen
- Google Chrome Desktop-Versionen vor 156.0.8078.47
Behoben in
- Linux: 156.0.8078.47
- Windows und macOS: 156.0.8078.48 oder neuer (Sekundärquellen nennen .47 und .48; zur Sicherheit .48 oder neuer verwenden)
Umgehung
Eine Massnahme ist nicht erforderlich. Das Aktualisieren ist die Gegenmassnahme. Den Browser nach dem Update neu starten.
Ausnutzung
- Gemäss den geprüften Quellen ist keine Ausnutzung in freier Wildbahn bekannt. Google hat nichts Gegenteiliges mitgeteilt.
- Nicht im CISA-KEV-Katalog aufgeführt.
- Kein öffentlicher Proof of Concept gefunden; dies belegt nicht, dass keiner existiert.
Unsere Empfehlung
- Alle Desktop-Installationen von Chrome auf 156.0.8078.48 oder neuer unter Windows und macOS bzw. 156.0.8078.47 oder neuer unter Linux aktualisieren.
- Chrome nach dem Update neu starten, da möglicherweise noch ein alter Browserprozess läuft.
- Die installierte Version überprüfen, statt von einer erfolgreichen Aktualisierung auszugehen.
- Weitere Chromium-basierte Browser wie Microsoft Edge und Chromium-Pakete auf eigene Updates prüfen.
- Mit der Verwaltungssoftware die Verteilung auf alle Endgeräte bestätigen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- NVD record via Vulners vulners.com
- Chrome 156 security update (CyberSecurityNews) cybersecuritynews.com
- Ubuntu security tracker ubuntu.com
- Debian and Fedora advisories via Vulners vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 14:46.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.