Google Chrome: Unzureichende Eingabevalidierung in Chromoting
Zusammenfassung
Google-Chrome-Desktopversionen vor 156.0.8078.47 enthalten eine unzureichende Eingabevalidierung (CWE-20) in Chromoting, der Komponente hinter Chrome Remote Desktop. Ein entfernter Angreifer kann mit einer präparierten HTML-Seite potenziell Schadcode innerhalb der Sandbox des Browsers ausführen. Das Opfer muss die schadhafte Seite aufrufen, und die Beschreibung zeigt keine Sandbox-Flucht. NVD führt einen CVSS-3.1-Basiswert von 8.8 (hoch), Chromium stuft das Problem hingegen als niedrig ein.
Betroffen
- Google-Chrome-Desktopversionen vor 156.0.8078.47 (gemäss CVE-Beschreibung)
Der CNA-Eintrag zum betroffenen Bereich ist intern widersprüchlich und wird hier nicht verwendet.
Behoben in
- Google Chrome 156.0.8078.47 oder neuer (Linux)
- Google Chrome 156.0.8078.47 oder neuer (Windows, macOS; einige Systeme zeigen 156.0.8078.48)
Der Text der Herstellerwarnung konnte nicht abgerufen werden; diese Versionen stammen aus Sekundärquellen.
Umgehung
- Es ist kein Workaround verfügbar; das Einspielen des Updates ist die Behebung.
- Browser nach dem Update neu starten, da möglicherweise noch ein alter Browserprozess läuft.
Ausnutzung
- Es wurde kein Hinweis auf eine Ausnutzung in freier Wildbahn gefunden.
- Es wurde kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Chromium-Sicherheitsschweregrad: niedrig.
- VulDB verwendet abweichende Drittanbieter-Bewertungen (6.3 und 7.4).
Unsere Empfehlung
- Google Chrome auf allen Desktops auf 156.0.8078.47 oder neuer (bzw. den neusten stabilen 156er-Build) aktualisieren.
- Chrome nach dem Update neu starten und die Version unter chrome://settings/help prüfen.
- Systeme mit installiertem Chrome Remote Desktop priorisieren und die Software entfernen, wo sie nicht benötigt wird.
- Automatische Updates über Chrome-Enterprise-Richtlinien erzwingen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- Microsoft Security Update Guide: CVE-2026-113063 msrc.microsoft.com
- Vulners CVE record vulners.com
- Ubuntu CVE tracker ubuntu.com
- VulDB entry vuldb.com
- Strix CVE summary www.strix.ai
- Cybersecurity News: Chrome 156 security update cybersecuritynews.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 14:33.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.