Google Chrome: Speicherbeschädigung in Compositing
Zusammenfassung
Eine Speicherbeschädigung in der Compositing-Komponente von Google Chrome vor 156.0.8078.47 erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Dafür muss das Opfer eine präparierte HTML-Seite öffnen, zum Beispiel auf einer schädlichen oder kompromittierten Website. Google stuft den Chromium-Schweregrad als mittel ein; der angegebene CVSS-Basiswert von 8.8 konnte nicht gegen NVD verifiziert werden. Eine Ausnutzung in freier Wildbahn ist nicht bekannt.
Betroffen
- Google Chrome vor 156.0.8078.47
- Andere Chromium-basierte Browser, die den betroffenen Code enthalten, vor deren korrigierten Versionen (genaue Herstellerbuilds nicht verifiziert)
Behoben in
- Google Chrome 156.0.8078.47 oder neuer (Chrome 156 Stable, veröffentlicht am 20. Oktober 2026; der genaue Build, den Google für diese CVE nennt, wurde nicht verifiziert)
- Microsoft Edge 156.0.4314.42 oder neuer (gemäss HKCERT-Bulletin, nicht gegen den MSRC-Eintrag geprüft)
Umgehung
Unbekannt. Es wurde kein Workaround gefunden; das Aktualisieren ist die Massnahme.
Ausnutzung
- Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn oder einen öffentlichen Proof of Concept gefunden
- CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung
- Ein Aggregator führt die CVE nicht im CISA-KEV-Katalog
Unsere Empfehlung
- Die Chrome-Version auf allen verwalteten Endgeräten prüfen und sicherstellen, dass sie 156.0.8078.47 oder neuer ist (und Edge 156.0.4314.42 oder neuer, falls verwendet)
- Browser nach dem Update neu starten, da laufende Sitzungen den alten Code verwenden
- Automatische Browser-Updates aktiviert lassen und deren Anwendung überprüfen
- Browsing nach Möglichkeit auf vertrauenswürdige Seiten beschränken und auf ungewöhnliche Browser-Aktivitäten achten
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker (not accessed) issues.chromium.org
- CVE description (vulners) vulners.com
- Ubuntu security tracker ubuntu.com
- HKCERT security bulletin (Microsoft Edge) www.hkcert.org
- Strix CVE record (aggregator) www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 14:25.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.