Google Chrome: Unzureichende Eingabevalidierung in Media ermöglicht Code-Ausführung in Sandbox
Zusammenfassung
Eine unzureichende Eingabevalidierung in der Komponente Media von Google Chrome vor 156.0.8078.47 kann von einem entfernten Angreifer ausgenutzt werden. Wenn ein Benutzer eine präparierte HTML-Seite öffnet, kann der Angreifer möglicherweise beliebigen Code innerhalb der Sandbox des Browsers ausführen. Der CVSS-Basiswert beträgt 8.8 (hoch); der Angriff erfordert eine Interaktion des Benutzers, etwa den Besuch einer schädlichen oder kompromittierten Website.
Betroffen
- Google Chrome Desktop-Versionen vor 156.0.8078.47
- Chromium-basierte Browser, die den Chromium-Fix übernehmen, sind separat betroffen (gemäss herstellerspezifischen Advisories)
Behoben in
- Google Chrome 156.0.8078.47 für Linux und Android
- Google Chrome 156.0.8078.47 oder 156.0.8078.48 für Windows und macOS
- Genaue Build-Liste: Chrome-Releases-Beitrag prüfen (in dieser Analyse nicht verifiziert)
Umgehung
Keine dokumentiert. Chrome aktualisieren und den Browser neu starten.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof of Concept für diese CVE gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Chrome auf allen Endgeräten auf 156.0.8078.47 oder neuer aktualisieren (unter Windows und macOS auf 156.0.8078.48), einschliesslich Linux- und Snap-Installationen.
- Installierte Version unter chrome://version prüfen und den Browser neu starten, damit das Update wirksam wird.
- Prüfen, ob automatische Updates im gesamten Bestand aktiviert sind.
- Benutzer weiterhin für verdächtige Links und unbekannte Websites sensibilisieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue 560476932 issues.chromium.org
- Ubuntu CVE tracker: CVE-2026-113120 ubuntu.com
- StriX.ai: CVE-2026-113120 www.strix.ai
- NVD record via Vulners vulners.com
- HKCERT bulletin: Microsoft Edge multiple vulnerabilities www.hkcert.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 13:47.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.