Google Chrome für Android: Type Confusion in FullScreen
Zusammenfassung
Eine Type Confusion im Bereich FullScreen von Google Chrome für Android erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Der Angreifer muss lediglich einen Benutzer dazu bringen, eine präparierte HTML-Seite aufzurufen; eine Authentifizierung ist nicht erforderlich. Die Beschreibung erwähnt keinen Ausbruch aus der Sandbox, daher wird eine vollständige Kompromittierung des Geräts nicht beschrieben. Google stuft die Lücke in Chromium als Schweregrad Medium ein.
Betroffen
- Google Chrome für Android vor 156.0.8078.47
- Chrome für Desktop ist ein separater Build und wird von diesem Eintrag nicht erfasst
Behoben in
- Google Chrome für Android 156.0.8078.47 (gemäss CVE-Beschreibung; der offizielle Versionsbereich im CVE-Eintrag ist widersprüchlich, daher gegen die Versionshinweise von Chrome prüfen)
Umgehung
Unbekannt. Es wurde kein Workaround gefunden; die Behebung erfolgt über ein Browser-Update.
Ausnutzung
- Es gibt keine Hinweise auf eine Ausnutzung in freier Wildbahn.
- Es wurde kein öffentlicher Proof of Concept gefunden.
- Unbekannt, ob die CISA die CVE im KEV-Katalog führt; nicht überprüft.
Unsere Empfehlung
- Chrome auf allen Android-Geräten über den Google Play Store aktualisieren; Geräte mit Firmen-E-Mail zuerst priorisieren.
- Die Chrome-Version auf verwalteten Mobilgeräten prüfen (inklusive BYOD).
- NVD-Status und CVSS-Bewertung direkt verifizieren, da die Quellen widersprüchlich sind.
- Auf Meldungen zu einer Ausnutzung in freier Wildbahn achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker 340578708 issues.chromium.org
- Ubuntu CVE-2026-113055 ubuntu.com
- Vulners CVE-2026-113055 vulners.com
- Strix CVE-2026-113055 www.strix.ai
- Wikipedia: Google Chrome en.wikipedia.org
- TrustLoud: Chrome security update October 2026 trustloud.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 14:36.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.