Google Chrome for Android: Speicherkorruption in ContextMenu
Zusammenfassung
Eine Speicherkorruption in der Komponente ContextMenu von Google Chrome for Android vor 156.0.8078.47 kann einem entfernten Angreifer ermöglichen, potenziell beliebigen Code innerhalb der Browser-Sandbox auszuführen. Der Angreifer muss einen Benutzer dazu bringen, eine präparierte HTML-Seite zu öffnen, eine Anmeldung ist nicht erforderlich. Google stuft die Lücke als Low ein, und CISA SSVC führt keine Ausnutzung und keine Automatisierbarkeit auf.
Betroffen
- Google Chrome for Android vor 156.0.8078.47
Hinweis: Der CVE-Eintrag nennt den betroffenen Bereich als '156.0.8078.47 bis < 156.0.8078.47', was inkonsistent ist. Für diesen Eintrag gilt die in der CVE-Beschreibung genannte Schwelle.
Behoben in
- Google Chrome for Android 156.0.8078.47 oder neuer (vom Hersteller genannte Schwelle gemäss CVE-Beschreibung)
- Unbekannt: Android-spezifische Versionshinweise nicht verifiziert. Die aktuelle Android-Version verwenden.
Umgehung
Unbekannt. Kein Workaround des Herstellers gefunden. Das Aktualisieren von Chrome ist die Massnahme.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden. Ein Aggregator listet KEV: No; der CISA-KEV-Katalog wurde nicht direkt geprüft.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Kein öffentlicher Proof of Concept gefunden.
- Für einen verwandten Chromium/Edge-Eintrag wird ein EPSS-Wert von 0.00412 angegeben.
Unsere Empfehlung
- Chrome auf allen Android-Geräten über Google Play auf den neuesten Stand bringen, nicht nur auf 156.0.8078.47.
- Automatische Updates aktivieren und, sofern verfügbar, über MDM eine minimale Chrome-Version erzwingen.
- Den Rollout auf verwalteten Geräten prüfen und nach Geräten mit veraltetem Chrome suchen.
- Den NVD-Eintrag und den Chromium-Fehler prüfen, bevor dieser Eintrag in ein formelles Risikoregister aufgenommen wird.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue 562909956 issues.chromium.org
- Microsoft Security Update Guide: CVE-2026-113121 msrc.microsoft.com
- Vulners CVE entry CVE-2026-113121 vulners.com
- Strix CVE entry CVE-2026-113121 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 13:48.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.