Google Chrome: Codeausführung in Sandbox durch unzureichende Eingabevalidierung in Proxy
Zusammenfassung
In der Proxy-Komponente von Google Chrome besteht eine unzureichende Eingabevalidierung. Ein entfernter Angreifer kann durch eine präparierte HTML-Seite möglicherweise beliebigen Code innerhalb der Browser-Sandbox ausführen. NVD bewertet die Schwachstelle mit CVSS 3.1 8.8 (hoch), und Chrome stuft sie intern als hoch ein. Eine Benutzerinteraktion ist erforderlich, und eine auf die Sandbox beschränkte Kompromittierung ist weniger weitreichend als eine vollständige Systemübernahme.
Betroffen
- Google Chrome vor 156.0.8078.47
- Windows und macOS: 156.0.8078.48 oder neuer erforderlich (gemäss herstellernahen Quellen)
- Edge (Chromium): Ein Aggregator nennt einen Bereich unterhalb 156.0.4314.42, nicht gegen die Microsoft-Meldung verifiziert
Behoben in
- Linux: 156.0.8078.47 oder neuer
- Windows und macOS: 156.0.8078.48 oder neuer
- Es existieren spätere Builds der Stable- und Extended-Stable-Kanäle (laut einer Drittquelle 156.0.8078.79/.80 für Windows und macOS sowie 156.0.8078.79 für Linux); den neuesten Stable-Build einsetzen
Umgehung
- Kein Workaround des Herstellers gefunden. Das Einspielen von Updates ist die einzige bestätigte Massnahme.
- Automatische Updates aktiv halten und die Version prüfen (Menü > Hilfe > Über Google Chrome).
- Updates auf verwalteten Geräten über Richtlinien erzwingen.
Ausnutzung
- CISA-SSVC-Bewertung: Exploitation none, Automatable no, Technical Impact total.
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden. Der Status im CISA-KEV-Katalog wurde nicht an der Quelle bei CISA verifiziert.
- Kein öffentlicher Proof of Concept gefunden.
- EPSS: unbekannt.
Unsere Empfehlung
- Google Chrome auf allen Endgeräten auf den neuesten Stable-Build aktualisieren, unter Windows und macOS mindestens 156.0.8078.48.
- Automatische Updates über Richtlinien erzwingen und Versionen in verwalteten Flotten prüfen.
- Chromium-basierte Browser und Linux-Distributionspakete auf eigene Korrekturen prüfen.
- Arbeitsplätze mit Browser- und E-Mail-Nutzung priorisieren; Server ohne Browserzugriff haben eine tiefere Priorität.
- NVD- und CISA-KEV-Status vor dem Schliessen des Tickets bestätigen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue 568906040 issues.chromium.org
- HKCERT security bulletin: Google Chrome multiple vulnerabilities www.hkcert.org
- VulnERS NVD record CVE-2026-113040 vulners.com
- VulnERS MSCVE record CVE-2026-113040 vulners.com
- TechSpot Google Chrome download page www.techspot.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 14:38.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.