Google Chrome: Speicherbeschädigung in Core-Komponente
Zusammenfassung
Google Chrome vor 156.0.8078.47 enthält eine Speicherbeschädigung in der Core-Komponente (CWE-119). Ein entfernter Angreifer kann mit einer präparierten HTML-Seite möglicherweise beliebigen Code innerhalb der Browser-Sandbox ausführen. Voraussetzung ist, dass ein Benutzer die manipulierte Seite besucht. Der CNA bewertet den CVSS-Score mit 8.8, während Chromium die Schwere als mittel einstuft.
Betroffen
- Google Chrome (Desktop) vor 156.0.8078.47
- Chromium-basierte Browser, einschliesslich Microsoft Edge (betroffener Bereich nicht bestätigt)
Behoben in
- Google Chrome 156.0.8078.47 für Linux; Windows und macOS 156.0.8078.47 oder 156.0.8078.48 (aus Sekundärquellen, nicht im Hersteller-Advisory bestätigt)
- Neueste verfügbare Chrome-Version ist das Ziel (neuere Stable-Builds existieren)
- Microsoft Edge 156.0.4314.42 oder neuer (Advisory eines Drittanbieters)
Umgehung
Unbekannt.
- Kein Workaround bekannt; das Update einspielen.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; Eintrag im CISA-KEV-Katalog nicht bestätigt.
- Kein öffentlicher Proof of Concept bekannt.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
Unsere Empfehlung
- Alle Chrome- und Edge-Installationen auf die korrigierten Versionen oder neuer aktualisieren; Browser-Flotten priorisieren.
- Installierte Versionen zentral prüfen, statt sich auf die automatische Aktualisierung zu verlassen, und prüfen, ob Update-Richtlinien sie blockieren.
- Linux: Pakete der Distribution verwenden; Ubuntu listet das Snap-basierte chromium als nicht betroffen.
- Der Chromium-Tracker-Link im CVE-Eintrag beschreibt einen anderen Fehler; Referenz beim Hersteller verifizieren.
- Hersteller-Advisories überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- NVD record via Vulners vulners.com
- Microsoft Security Update Guide msrc.microsoft.com
- Vulners CVE list entry vulners.com
- Ubuntu security tracker ubuntu.com
- HKCERT Microsoft Edge security bulletin www.hkcert.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 14:37.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.