Google Chrome: Speicherbeschädigung in Sensor-Komponente
Zusammenfassung
Eine Speicherbeschädigung in der Sensor-Komponente von Google Chrome vor 156.0.8078.47 kann durch eine präparierte HTML-Seite ausgelöst werden. Ein entfernter Angreifer könnte dadurch möglicherweise beliebigen Code innerhalb der Browser-Sandbox ausführen. Das Opfer muss die schädliche Seite besuchen, und der Chromium-Fehlerbericht beschreibt eine Sandbox-Ausbrechung, die einen bereits kompromittierten Renderer voraussetzt.
Betroffen
- Google Chrome vor 156.0.8078.47
- Chromium-basierte Produkte, die denselben Code enthalten, wie Microsoft Edge, sind möglicherweise ebenfalls betroffen; die Sicherheitshinweise der jeweiligen Hersteller prüfen
Behoben in
- Google Chrome 156.0.8078.47 oder neuer (Windows, macOS, Linux)
- Neuere stabile Builds sind verfügbar; die aktuelle stabile Version installieren
Umgehung
- Unbekannt. Der Sicherheitshinweis des Herstellers nennt keine Zwischenmassnahmen.
- Das Aktualisieren von Chrome ist die Behebung.
Ausnutzung
- Zum Zeitpunkt der Erstellung ist keine Ausnutzung in freier Wildbahn bekannt.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Der Chromium-Fehlerbericht beschreibt einen gleichzeitigen, apartmentübergreifenden Zugriff auf ein COM-Sensorobjekt in der älteren Win32-Sensorimplementierung, der eine Heap-Beschädigung verursachen kann.
Unsere Empfehlung
- Google Chrome und alle Chromium-basierten Browser auf allen Endgeräten auf die aktuelle stabile Version aktualisieren.
- Endgeräte mit einem Schwachstellenscanner auf Chrome-Versionen unter 156.0.8078.47 prüfen.
- Nicht verwaltete Windows-Systeme und Endgeräte mit verzögerten oder fixierten Browser-Updates priorisieren.
- Die Versionshinweise des Herstellers und den Chromium-Fehlerbericht auf Änderungen bei der Ausnutzungslage oder dem Plattformumfang überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- Microsoft Security Update Guide msrc.microsoft.com
- Ubuntu CVE tracker ubuntu.com
- Vulners CVE list entry vulners.com
- Strix CVE summary www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 14:31.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.