Google Chrome: Unzureichende Eingabevalidierung in Bluetooth
Zusammenfassung
Google Chrome enthält in seiner Bluetooth-Komponente eine Schwachstelle durch unzureichende Eingabevalidierung. Ein entfernter Angreifer kann durch eine präparierte HTML-Seite möglicherweise beliebigen Code innerhalb der Sandbox des Browsers ausführen. Das CNA stuft die Schwachstelle mit CVSS 3.1 8.8 (hoch) ein, wobei eine Benutzerinteraktion erforderlich ist. Die Quellen geben nicht an, ob eine zusätzliche Voraussetzung, etwa ein kompromittierter Renderer, nötig ist.
Betroffen
- Google Chrome (Desktop) vor 156.0.8078.47 gemäss CNA-Eintrag.
Behoben in
- Google Chrome 156.0.8078.47 oder neuer (gemäss dem Chrome-Releases-Beitrag des Herstellers; die Windows- und macOS-Builds, angegeben als 156.0.8078.47/.48, sind anhand des Herstellerbeitrags zu prüfen).
- Microsoft Edge 156.0.4314.42 oder neuer (Chromium-basiert, verwandte Warnmeldung).
Umgehung
Es ist keine Workaround dokumentiert. Chrome aktualisieren und den Browser vollständig neu starten.
Ausnutzung
- Kein öffentlicher Proof of Concept gefunden.
- Gemäss einer Drittquelle nicht im CISA-KEV-Katalog; nicht bei CISA überprüft.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Alle Chrome- und Edge-Installationen auf die korrigierten Versionen aktualisieren.
- Auf verwalteten Endgeräten einen vollständigen Browser-Neustart erzwingen, damit das Update wirksam wird.
- Chromium-basierte Anwendungen, Kioske und eingebettete Browser prüfen, da diese separat aktualisiert werden könnten.
- Das gesamte Chrome-156-Release einspielen, das 353 Sicherheitslücken behebt.
- Den Eintrag im Chromium-Bugtracker und die NVD auf aktualisierte Angaben überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- CVE record (Vulners, CVELIST) vulners.com
- Chrome 156 security update overview (Cybersecurity News) cybersecuritynews.com
- Chrome 156 security update for Windows (WindowsForum) windowsforum.com
- Microsoft Edge multiple vulnerabilities (HKCERT) www.hkcert.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 14:31.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.