Google Chrome: Use after free in Compositing ermöglicht Codeausführung in Sandbox
Zusammenfassung
Google Chrome vor 156.0.8078.47 enthält eine Use-after-free-Schwachstelle in der Komponente Compositing (CWE-416). Ein entfernter Angreifer kann durch eine präparierte HTML-Seite, die ein Benutzer öffnet, beliebigen Code innerhalb der Sandbox des Browsers ausführen. Der Angriff benötigt keine Berechtigungen, aber eine Benutzerinteraktion, und die Codeausführung ist ohne einen weiteren Sandbox-Escape auf die Sandbox beschränkt.
Betroffen
- Google Chrome vor 156.0.8078.47 (Windows, macOS, Linux)
- Chromium-basierte Browser, die den betroffenen Chromium-Code verwenden, etwa Microsoft Edge (behobene Version unbekannt)
Behoben in
- Google Chrome 156.0.8078.47 oder neuer (Minimum; die Build-Nummern unterscheiden sich je nach Plattform)
- Die neueste 156.x-Version installieren, da später weitere Compositing-Korrekturen erschienen sind
- Microsoft Edge: behobene Version unbekannt, Versionshinweise von Microsoft prüfen
Umgehung
- Unbekannt. Es wurde keine vom Hersteller dokumentierte Workaround-Massnahme gefunden; das Einspielen des Updates ist die Massnahme.
Ausnutzung
- Zum Zeitpunkt der Recherche wurden keine Berichte über Ausnutzung in freier Wildbahn, kein Eintrag im CISA-KEV-Katalog und kein öffentlicher Proof-of-Concept gefunden.
- Ein Aggregator nennt einen EPSS-Wert von 0.00417, der nicht bei FIRST bestätigt wurde.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Chrome- und Edge-Versionen auf allen Endgeräten erfassen und auf die neueste 156.x-Version aktualisieren.
- Linux-Chromium-Pakete anhand der Sicherheitsmitteilungen der Distribution prüfen, da sich die Paketversionen unterscheiden.
- Prüfen, dass Update-Richtlinien Browser-Updates nicht fixieren oder blockieren.
- Chromium-Fehlerbericht und CISA KEV auf Berichte zur Ausnutzung prüfen.
- Die Behebung im normalen Browser-Update-Zyklus durchführen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue 563163857 issues.chromium.org
- Microsoft MSRC: CVE-2026-113111 msrc.microsoft.com
- Ubuntu CVE tracker: CVE-2026-113111 ubuntu.com
- NVD record via Vulners: CVE-2026-113111 vulners.com
- Chrome Releases for Linux release log (TechSpot mirror) www.techspot.com
- Google Chrome release mirror (TechSpot) www.techspot.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 13:53.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.