Google Chrome Android: Speicherkorruption ermöglicht Codeausführung in Sandbox
Zusammenfassung
Eine Speicherkorruption in der Komponente Mobile von Google Chrome auf Android ermöglicht einem entfernten Angreifer, möglicherweise beliebigen Code innerhalb der Browser-Sandbox auszuführen. Voraussetzung ist, dass ein Benutzer eine präparierte HTML-Seite öffnet. Google stuft den Chromium-Sicherheitsschweregrad als niedrig ein, der CVSS-Wert beträgt 8.8. Eine Ausnutzung in freier Wildbahn ist nicht bekannt.
Betroffen
- Google Chrome auf Android vor 156.0.8078.47
- Der offizielle CVE-Eintrag nennt den betroffenen Bereich mit 156.0.8078.47 bis < 156.0.8078.47, was der Beschreibung widerspricht; anhand der Versionshinweise des Herstellers prüfen
Behoben in
- Android-Version mit Korrektur: Unbekannt (nicht anhand der Versionshinweise des Herstellers verifiziert)
- Desktop: Chrome 156.0.8078.73 (Aktualisierung vom 27. Oktober 2026 laut einer Sekundärquelle)
- Die neueste stabile Version von Chrome für Android installieren
Umgehung
- Keine bekannte Workaround-Massnahme des Herstellers
- Chrome auf Android automatisch aktualisieren lassen und die installierte Version prüfen
Ausnutzung
- Ausnutzung in freier Wildbahn: Nicht bekannt; keine Aussage des Herstellers oder von CISA gefunden
- Öffentlicher Proof of Concept: Nicht bekannt
- Eintrag im CISA-KEV-Katalog: Nicht gefunden (nicht direkt geprüft)
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total
Unsere Empfehlung
- Chrome auf allen Android-Smartphones und -Tablets auf die neueste stabile Version aktualisieren, mit Priorität auf nicht verwalteten privaten Geräten, die beruflich genutzt werden
- Bei verwalteten Geräten prüfen, ob die MDM-Richtlinie Browser-Updates anwendet
- Die installierte Chrome-Version auf Android-Geräten kontrollieren und die Versionshinweise des Herstellers auf die bestätigte Android-Korrekturversion überwachen
- Mittlere Priorität: Keine bekannte Ausnutzung, die Angriffsvoraussetzung beschränkt sich aber auf eine Benutzerinteraktion mit einer präparierten Webseite
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- vulners CVE entry vulners.com
- strix.ai CVE entry www.strix.ai
- SecurityWeek: Chrome 156 coverage www.securityweek.com
- BetaNews: Chrome 156 refresh betanews.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 14:13.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.