Google Chrome: Use-after-free in Extensions ermöglicht Code-Ausführung in Sandbox
Zusammenfassung
Google Chrome vor 156.0.8078.47 enthält einen Use-after-free-Fehler (CWE-416) in der Komponente Extensions. Ein entfernter Angreifer kann beliebigen Code innerhalb der Browser-Sandbox ausführen, indem er ein Opfer zu einer präparierten HTML-Seite lockt. Der Angriff benötigt keine Zugangsdaten, erfordert aber eine Interaktion des Benutzers, und es wurde kein Ausbruch aus der Sandbox gemeldet.
Betroffen
- Google Chrome vor 156.0.8078.47 (Desktop)
Behoben in
- Google Chrome 156.0.8078.47 (gemäss CVE-Beschreibung; der Hersteller-Beitrag konnte nicht vollständig verifiziert werden)
- Neuere 156.x-Builds sind verfügbar und sollten verwendet werden
Umgehung
- Kein vom Hersteller veröffentlichter Workaround. Das Update ist erforderlich.
- Installation von Erweiterungen über Chrome-Unternehmensrichtlinien auf genehmigte Quellen beschränken (allgemeine Härtung, nicht vom Hersteller).
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- Nicht im CISA-KEV-Katalog aufgeführt.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Alle Google-Chrome-Installationen jetzt auf den neuesten 156.x-Build aktualisieren.
- Sicherstellen, dass alle Chromium-basierten Browser (z. B. Edge, Brave, Vivaldi) aktualisiert sind.
- Linux-Systeme separat prüfen, da Distributionspakete anders behandelt werden können.
- Automatische Updates aktiviert lassen und auf verwaltete oder deaktivierte Update-Richtlinien achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue 501805751 issues.chromium.org
- Microsoft Security Update Guide: CVE-2026-113105 msrc.microsoft.com
- Ubuntu Security: CVE-2026-113105 ubuntu.com
- Vulners CVELIST: CVE-2026-113105 vulners.com
- Strix: CVE-2026-113105 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 14:00.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.