Google Chrome: Speicherbeschädigung in der HTML-Verarbeitung
Zusammenfassung
Google Chrome vor 156.0.8078.47 enthält eine Speicherbeschädigung in der HTML-Verarbeitung. Ein entfernter Angreifer kann über eine präparierte HTML-Seite potenziell beliebigen Code innerhalb der Sandbox des Browsers ausführen. Das Opfer muss die schädliche Seite lediglich öffnen; eine Anmeldung ist nicht nötig. Google stuft den Schweregrad als niedrig ein, der CVSS-Basiswert beträgt 8.8.
Betroffen
- Google Chrome vor 156.0.8078.47 (Desktop)
- Chromium-basierte Browser, wie Microsoft Edge, je nach eingebundener Chromium-Version
Behoben in
- Google Chrome 156.0.8078.47 oder neuer (Mindestversion auf allen Plattformen; genaue Version pro Plattform auf der Seite des Herstellers prüfen)
- Debian: DSA 6577-1 und DLA 4853-1 (Chromium)
- Ubuntu: Die Korrektur wird über das Snap-Paket verteilt, nicht über das .deb-Paket chromium-browser
- Microsoft Edge: Fixe Version unbekannt
Umgehung
- Kein Workaround dokumentiert. Den Browser aktualisieren.
- Den Browser nach dem Update neu starten, da ein alter Prozess nach der Update-Meldung noch laufen kann.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- Gemäss Tracker-Eintrag nicht im CISA-KEV-Katalog aufgeführt.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Versionen von Chrome, Chromium und Edge auf allen Endgeräten erfassen; das Mindestziel ist 156.0.8078.47.
- Prüfen, ob das Update installiert und der Browser neu gestartet wurde.
- Updates der Distributionen auf Linux-Systemen einspielen (Debian DSA/DLA, FreeBSD) und auf Ubuntu den Snap-Kanal prüfen.
- Verwaltete Geräte priorisieren, da Web-Browsing und Links in E-Mails der realistische Angriffsweg sind.
- NVD und die Chrome-Release-Seite auf Änderungen prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- NVD record via Vulners vulners.com
- Ubuntu security tracker ubuntu.com
- Microsoft Security Update Guide msrc.microsoft.com
- Windows Forum: Chrome 156 security update windowsforum.com
- Cybersecurity News: Chrome security update cybersecuritynews.com
- CISA KEV status (tracker entry) github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 14:46.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.