Google Chrome: Use-after-free in Extensions ermöglicht Codeausführung in Sandbox

Zusammenfassung

Eine Use-after-free-Schwachstelle in der Komponente Extensions des Desktop-Browsers Google Chrome vor 156.0.8078.47 erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Der Angreifer muss lediglich einen Benutzer zu einer präparierten HTML-Seite locken; eine Anmeldung ist nicht erforderlich. Gemäss Beschreibung ist die Auswirkung auf die Sandbox beschränkt, für eine vollständige Kompromittierung wäre normalerweise zusätzlich eine Sandbox-Escape-Schwachstelle nötig. CISA SSVC bewertet die Ausnutzung als keine und die Automatisierbarkeit als nein.

Betroffen

• Google Chrome Desktop vor 156.0.8078.47 (Linux)
• Google Chrome Desktop vor 156.0.8078.47 oder 156.0.8078.48 (Windows und macOS, gemäss Sekundärquellen; nicht gegen die Herstellermeldung geprüft)
• Microsoft Edge vor 156.0.4314.42 (eigenständiges Produkt, gemäss HK CERT)
• Ubuntu-Paket chromium-browser: nicht betroffen, da es die Chromium-Snap installiert

Behoben in

• Google Chrome 156.0.8078.47 (Linux)
• Google Chrome 156.0.8078.47 oder 156.0.8078.48 (Windows und macOS, gemäss Sekundärquellen)
• Microsoft Edge 156.0.4314.42 oder neuer
• Jede aktuelle stabile Chrome-Version enthält die Korrektur

Umgehung

• Unbekannt. Für ungepatchte Systeme ist keine Massnahme des Herstellers bekannt.
• Übergangsmassnahme (nicht aus einer Quelle): Nur genehmigte Browser-Erweiterungen zulassen und nicht benötigte entfernen.

Ausnutzung

• Unbekannt. Es wurden keine Ausnutzung in freier Wildbahn, kein öffentlicher Proof of Concept und kein Eintrag im CISA-KEV-Katalog gefunden.
• CISA SSVC: Ausnutzung keine, Automatisierbarkeit nein, technische Auswirkung total.

Unsere Empfehlung

• Google Chrome auf die aktuelle stabile Version aktualisieren und den Browser neu starten, da ein ausstehendes Update erst nach dem Neustart wirksam wird.
• Microsoft Edge über dessen eigenen Kanal aktualisieren.
• Unter Linux die Chromium-Snap auf Ubuntu aktualisieren und die Debian-Updates DSA/DLA für Chromium einspielen.
• Prüfen, ob die automatischen Browser-Updates auf allen verwalteten Geräten funktionieren, einschliesslich Laptops im Homeoffice.
• Browser-Erweiterungen auf eine genehmigte Liste beschränken und nicht benötigte entfernen.
• Den CISA-KEV-Katalog und die Herstellermeldung auf Änderungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
• Chromium issue 495899355 issues.chromium.org
• HK CERT: Microsoft Edge multiple vulnerabilities www.hkcert.org
• Vulners: CVE-2026-113113 vulners.com
• Ubuntu security: CVE-2026-113113 ubuntu.com
• Cybersecurity News: Chrome security update fixing 353 flaws cybersecuritynews.com
• TechGeeks: Security notice Google Chrome 156 stable www.techgeeks.org
• Windows Forum: Chrome 156 security update windowsforum.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 13:54.