Google Chrome: Unzureichende Eingabevalidierung in der ANGLE-Grafikschicht
Zusammenfassung
Google Chrome auf macOS enthält eine Schwachstelle durch unzureichende Eingabevalidierung in ANGLE, der Grafikschicht, welche WebGL- und OpenGL-ES-Aufrufe verarbeitet. Ein entfernter Angreifer kann mit einer präparierten HTML-Seite möglicherweise beliebigen Code innerhalb der Browser-Sandbox ausführen. Der Angriff erfordert, dass ein Benutzer die manipulierte Seite lädt, und für eine vollständige Systemkompromittierung benötigt der Angreifer zusätzlich eine separate Sandbox-Flucht.
Betroffen
- Google Chrome auf macOS vor 156.0.8078.47
- Chromium-basierte Browser, die denselben ANGLE-Code enthalten (zum Beispiel Microsoft Edge), laut Microsoft
- Unbekannt: ob andere Plattformen betroffen sind, da der NVD-Eintrag nur macOS nennt
Behoben in
- Google Chrome 156.0.8078.47 oder neuer für macOS (der NVD-Schwellenwert)
- Aktuelle Mac-Builds sind neuer, z. B. 156.0.8078.74 laut der Download-Seite von Google
- Unbekannt: ob 156.0.8078.47 allein genügt oder ob .48 erforderlich war
Umgehung
- Unbekannt: Es wurde kein Hersteller-Workaround identifiziert
- Das Patchen ist die erforderliche Massnahme
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden
- Kein öffentlicher Proof-of-Concept gefunden
- Status im CISA-KEV-Katalog nicht verifiziert (ein Drittanbieter-Aggregator führt ihn als nicht enthalten)
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total
Unsere Empfehlung
- Google Chrome auf allen Macs über den integrierten Aktualisierungsmechanismus auf den aktuellen Stable-Stand (156.x) aktualisieren
- In verwalteten Flotten die installierte Version über die Info-Seite von Chrome prüfen
- Chromium-basierte Browser wie Microsoft Edge auf macOS ebenfalls aktualisieren
- Das Update über die regulären Browser-Update-Zyklen einspielen; Priorität mittel bis hoch, da jede Website den Angriff auslösen kann
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- NVD entry (vulners) vulners.com
- Chrome Releases: Stable Channel Update for Desktop (CVE advisory) chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- Microsoft Security Update Guide msrc.microsoft.com
- VulDB entry vuldb.com
- Chrome Releases: Stable Channel Update for Desktop (27 October) chromereleases.googleblog.com
- Google Chrome download page (macUpdate) google-chrome.macupdate.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 13:56.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.