Google Chrome: Speicherbeschädigung in DevTools
Zusammenfassung
Google Chrome vor 156.0.8078.47 enthält eine Speicherbeschädigung in DevTools, den integrierten Entwicklerwerkzeugen. Ein entfernter Angreifer kann mit einer präparierten HTML-Seite potenziell beliebigen Code innerhalb der Browser-Sandbox ausführen. Das Opfer muss die Seite des Angreifers öffnen, und der Eintrag beschreibt weder eine Sandbox-Flucht noch eine vollständige Systemkompromittierung. NVD bewertet die Lücke mit CVSS 8.8 (hoch), während VulDB sie mit 6.3 (mittel) einstuft.
Betroffen
- Google Chrome vor 156.0.8078.47 (CNA-Eintrag)
- VulDB listet bis 155.0.8059.84
- Chromium-basierte Browser wie Microsoft Edge hängen von ihren eigenen Updates ab
- Das Ubuntu-Paket chromium-browser ist als nicht betroffen markiert (Snap-Wrapper)
Behoben in
- Google Chrome 156.0.8078.47 ist der von Drittquellen gemeldete minimale korrigierte Build
- Es existieren spätere Stable-Builds (z. B. 156.0.8078.79/.80); den aktuellen Stable-Build einsetzen
- Welcher Build die Korrektur erstmals enthielt, ist nicht bestätigt
Umgehung
Unbekannt. In den Quellen ist keine Workaround dokumentiert. Das Update ist die Abhilfe.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; laut Strix nicht im CISA KEV (nicht direkt geprüft)
- Kein öffentlicher Proof of Concept gefunden
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total
- Chromium stuft die Lücke als niedrigen Schweregrad ein
Unsere Empfehlung
- Chrome auf allen Arbeitsplätzen und Servern, die im Web surfen, auf den aktuellen Stable-Build (mindestens 156.0.8078.47) aktualisieren
- Browser nach dem Update neu starten, da die Korrektur erst nach dem Neustart wirksam wird
- Edge, weitere Chromium-basierte Browser und Linux-chromium-Pakete prüfen
- Administrator-Arbeitsplätze priorisieren und installierte Versionen in verwalteten Geräten überprüfen
- NVD und CISA KEV regelmässig auf Meldungen zur Ausnutzung prüfen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- Microsoft MSRC update guide msrc.microsoft.com
- VulDB entry vuldb.com
- Vulners NVD mirror vulners.com
- Ubuntu CVE tracker ubuntu.com
- Strix CVE page www.strix.ai
- TechSpot Google Chrome downloads www.techspot.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 14:36.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.