Google Chrome: Use after free in Media-Komponente erlaubt Code-Ausführung in Sandbox
Zusammenfassung
Eine Use-after-Free-Schwachstelle in der Media-Komponente von Google Chrome unter Windows erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Der Angreifer benötigt, dass das Opfer eine präparierte HTML-Seite öffnet, daher handelt es sich um einen Drive-by-Angriff über jede Webseite. Gemäss CVE-Eintrag beschränkt sich die Auswirkung auf die Sandbox; eine vollständige Kompromittierung des Systems würde zusätzlich eine Sandbox-Flucht erfordern, die nicht beschrieben ist.
Betroffen
- Google Chrome unter Windows vor 156.0.8078.47
- Das Feld "affected" des CVE-Eintrags lautet "156.0.8078.47 to < 156.0.8078.47" und ist widersprüchlich; hier wird die Formulierung "vor 156.0.8078.47" aus der Beschreibung verwendet.
- Andere Plattformen: Im CVE-Text unbekannt; Ubuntu listet seine chromium-browser-Pakete als nicht betroffen.
Behoben in
- Google Chrome 156.0.8078.47 (Stable-Kanal, Windows)
- Eine spätere Stable-Version wird von einer Sekundärquelle genannt; bitte anhand der Release Notes von Google prüfen.
Umgehung
- Unbekannt. Es ist kein Workaround des Herstellers dokumentiert; das Browser-Update ist die Behebung.
Ausnutzung
- Es wurden keine Hinweise auf Ausnutzung in freier Wildbahn oder auf öffentlichen Proof-of-Concept-Code gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Der Chromium-Schweregrad ist Low; Bewertungen Dritter weichen ab (CVSS 8.8 des CNA, VulDB 6.3).
Unsere Empfehlung
- Die Chrome-Version auf allen Windows-Endgeräten prüfen und mindestens auf 156.0.8078.47 aktualisieren, idealerweise auf die aktuelle Stable-Version.
- Sicherstellen, dass automatische Updates funktionieren und Browser nach dem Update neu gestartet werden.
- Microsoft Edge und andere Chromium-basierte Browser auf ihren Patch-Stand prüfen.
- Den Browser insgesamt patchen, da Chrome 156 weitere Sicherheitskorrekturen enthält.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- NVD mirror (Vulners) vulners.com
- CVE text mirror (Vulners) vulners.com
- Microsoft MSRC msrc.microsoft.com
- VulDB vuldb.com
- Ubuntu security notice ubuntu.com
- Tenable plugin www.tenable.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 14:27.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.