Google Chrome: Unzureichende Eingabevalidierung in Permissions erlaubt Sandbox-Ausbruch

Zusammenfassung

Google Chrome-Versionen vor 156.0.8078.47 enthalten eine unzureichende Eingabevalidierung in der Komponente Permissions. Ein entfernter Angreifer kann über eine präparierte HTML-Seite möglicherweise beliebigen Code ausserhalb der Browser-Sandbox ausführen. Der Angriff setzt voraus, dass ein Benutzer die manipulierte Seite besucht; ein Konto ist nicht nötig. Chromium stuft die Lücke als mittel ein, während NVD und Microsoft sie mit CVSS 9.6 (kritisch) bewerten.

Betroffen

• Google Chrome (Desktop) vor 156.0.8078.47
• Android-Versionen vor 156.0.8078.47 (von Sekundärquellen als betroffen gemeldet)
• Chromium-basierte Browser, die den betroffenen Chromium-Code enthalten (z. B. Microsoft Edge), bis sie den Fix enthalten

Behoben in

• Google Chrome 156.0.8078.47 oder neuer (Linux und Android)
• Google Chrome 156.0.8078.47 oder 156.0.8078.48 oder neuer (Windows und macOS; die Quellen widersprechen sich, daher die neueste stabile Version verwenden)
• Microsoft Edge: keine verifizierte Build-Nummer mit Fix gefunden
• Ubuntu: Die Pakete chromium-browser werden als nicht betroffen geführt, weil Chromium als Snap ausgeliefert wird; der Snap muss aktualisiert werden

Umgehung

• Keine gefunden. Der Hersteller empfiehlt nur das Aktualisieren.
• Den Browser nach dem Update neu starten, da der alte Prozess möglicherweise noch läuft.

Ausnutzung

• Zum Zeitpunkt der Recherche keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
• Soweit bekannt nicht im CISA KEV gelistet; der CISA-Katalog wurde nicht direkt geprüft.
• Kein öffentlicher Proof of Concept gefunden; dies schliesst einen solchen nicht aus.
• CISA SSVC: Ausnutzung none, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Die Chrome-Version auf allen Endgeräten prüfen, einschliesslich Edge- und Ubuntu/Snap-Installationen.
• Windows- und macOS-Systeme auf die neueste 156.0.8078.x-Version und Linux-Systeme auf mindestens 156.0.8078.47 aktualisieren.
• Bei ausstehenden Updates einen Browser-Neustart verlangen.
• Aus ddem Internet erreichbare Benutzer-Arbeitsplätze trotz der Chromium-Einstufung als Mittel priorisieren.
• NVD, CISA KEV und den Chrome-Advisory in einigen Tagen auf Änderungen des Ausnutzungsstatus prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
• Chromium issue 518099505 issues.chromium.org
• Microsoft MSRC: CVE-2026-113084 msrc.microsoft.com
• Ubuntu CVE tracker: CVE-2026-113084 ubuntu.com
• Vulners: CVELIST CVE-2026-113084 (Debian DSA/DLA references) vulners.com
• Cybersecurity News: Chrome security update fixing 353 flaws cybersecuritynews.com
• Penligent: Chrome 156 security update www.penligent.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 22:35.