Google Chrome: Use after free in DevTools ermöglicht Sandbox-Ausbruch
Zusammenfassung
Google-Chrome-Versionen vor 156.0.8078.47 enthalten eine Use-after-free-Schwachstelle (CWE-416) in der Komponente DevTools. Ein entfernter Angreifer, der einen Benutzer auf eine präparierte HTML-Seite lockt, kann unter Umständen beliebigen Code ausserhalb der Browser-Sandbox ausführen. NVD bewertet die Schwachstelle mit CVSS 9.6 (kritisch), Google stuft sie im Chromium-Schweregrad als niedrig ein.
Betroffen
- Google Chrome vor 156.0.8078.47 (Desktop, Windows, macOS und Linux)
- Chromium-basierte Browser hängen von den Korrekturen ihres eigenen Herstellers ab (z. B. Microsoft Edge)
- Linux-Distributionen: Versionen der korrigierten Pakete unbekannt
Behoben in
- Google Chrome 156.0.8078.47 oder neuer (Windows und macOS 156.0.8078.48 laut Wikipedia; Linux 156.0.8078.47)
- Microsoft Edge 156.0.4314.42 oder neuer (laut HKCERT)
- Debian DSA 6577-1 und DLA 4853-1 veröffentlicht; Versionen der korrigierten Pakete unbekannt
- Ubuntu-Pakete chromium-browser: nicht betroffen, der Kanal des Chromium-Snaps muss geprüft werden
Umgehung
- Kein Workaround nötig, sofern das Update installiert ist.
- Falls das Patchen verzögert wird, ist das Einschränken von DevTools per Enterprise-Richtlinie allgemeine Empfehlung bei Use-after-free-Fehlern in DevTools; der genaue Richtlinienname und dessen Wirkung auf diese CVE sind nicht bestätigt.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; Drittanbieter-Tracker führen die CVE nicht im CISA KEV (der KEV-Katalog wurde nicht direkt geprüft).
- Kein öffentlicher Proof of Concept gefunden.
- EPSS etwa 0.47% (Momentaufnahme eines Drittanbieters).
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Als Browser-Update mit hoher Priorität behandeln: Chrome 156.0.8078.47 oder neuer innerhalb weniger Tage auf allen Endgeräten verteilen.
- Browser nach dem Update neu starten und die installierte Version im Inventar prüfen.
- Chromium-basierte Browser und Linux-Pakete separat bei den jeweiligen Herstellern prüfen.
- CISA KEV und den Chromium-Fehler auf Änderungen erneut prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue 553259748 issues.chromium.org
- Microsoft Security Update Guide CVE-2026-113116 msrc.microsoft.com
- HKCERT Microsoft Edge security bulletin www.hkcert.org
- Ubuntu CVE-2026-113116 ubuntu.com
- Vulners CVE-2026-113116 vulners.com
- Chrome 156 Stable what's new (Chrome Geek) www.chromegeek.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 22:35.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.