Google Chrome für Android: Use after free in Passwords
Zusammenfassung
Ein Use-after-free-Fehler in der Passwort-Komponente von Google Chrome für Android erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Sandbox des Browsers auszuführen. Der Angreifer muss einen Benutzer dazu bringen, eine präparierte HTML-Seite aufzurufen, weshalb die Gefährdung durch gewöhnliches Surfen im Web entsteht. Gemäss CVSS-Vektor und CISA-SSVC-Daten ist die Ausnutzung nicht automatisierbar, und es wurde keine Ausnutzung gemeldet.
Betroffen
- Google Chrome für Android vor 156.0.8078.47
- Microsoft Edge und Linux-Distributionen sind für diese CVE ebenfalls aufgeführt, deren Versionen wurden hier jedoch nicht geprüft
Behoben in
- Google Chrome für Android 156.0.8078.47 oder neuer (Herstellereintrag zur Android-Korrektur nicht verifiziert)
- Microsoft Edge 156.0.4314.42 oder neuer (gemäss HKCERT)
Umgehung
Unbekannt.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden
- Kein öffentlicher Proof of Concept gefunden
- EPSS-Wert 0.00424
Unsere Empfehlung
- Prüfen, ob alle verwalteten und privaten (BYOD) Android-Geräte Chrome 156.0.8078.47 oder neuer verwenden, vorzugsweise die neueste Version im Google Play Store
- Microsoft Edge unter Windows auf 156.0.4314.42 oder neuer prüfen
- Das gesamte Chrome-156-Update priorisieren, das 353 Schwachstellen behebt, nicht nur diese CVE
- Die Android-Korrektur im Chrome-Releases-Beitrag oder im Chromium-Fehler 558377544 bestätigen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue 558377544 issues.chromium.org
- Chrome Releases: Chrome for Android update chromereleases.googleblog.com
- HKCERT security bulletin: Microsoft Edge www.hkcert.org
- Vulners CVE-2026-113092 vulners.com
- SecurityWeek: Memory bugs account for most of Chrome's 353 security fixes www.securityweek.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 14:15.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.