Google Chrome: Use-after-free in Actor ermöglicht Codeausführung in Sandbox

Zusammenfassung

Ein Use-after-free-Speicherfehler in der Komponente Actor von Google Chrome für Desktop ermöglicht einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Der Angreifer benötigt, dass ein Opfer eine präparierte HTML-Seite öffnet, daher besteht vor allem ein Drive-by-Risiko über Links oder kompromittierte Webseiten. Der Hersteller stuft das Problem als niedrig ein, und eine aktive Ausnutzung ist nicht bekannt. Die Formulierungen in der NVD-Beschreibung und in der CNA-Beschreibung unterscheiden sich leicht, daher ist der NVD-Eintrag als Referenz zu verwenden.

Betroffen

• Google Chrome für Desktop, Versionen vor 156.0.8078.47 (gemäss CVE-Beschreibung)
• Auf Chromium basierende Browser wie Microsoft Edge werden in einer Drittquelle als betroffen aufgeführt; die Herstellerhinweise dieser Browser sind zu prüfen

Behoben in

• Chrome 156.0.8078.47 oder neuer ist die minimale korrigierte Version gemäss CVE-Beschreibung
• Windows und macOS: Die neueste stabile Chrome-156-Version verwenden; welcher Build auf jeder Plattform die Korrektur enthält, konnte aus der Herstellerseite nicht bestätigt werden
• Linux-Distributionen: Debian hat Aktualisierungen für Chromium veröffentlicht; das Paket chromium-browser von Ubuntu ist ein Wrapper, daher ist die Version des Chromium-Snaps separat zu prüfen

Umgehung

• Kein Workaround des Herstellers bekannt; die Behebung erfolgt durch ein Browser-Update
• Automatische Updates aktiviert lassen und Browser nach Updates neu starten
• Bis zur Behebung die Browser-Versionen auf allen Endgeräten überprüfen

Ausnutzung

• Im Umlauf: In den geprüften Quellen keine Hinweise gefunden
• Öffentlicher Proof of Concept: Keiner gefunden
• Herstellerbewertung: Niedrig (Chromium Security Severity); CVSS-3.1-Basiswert 8.8 in der NVD
• CISA SSVC: Ausnutzung keine, Automatisierbar nein, technische Auswirkung total

Unsere Empfehlung

• Google Chrome (und auf Chromium basierendes Edge) auf allen Arbeitsstationen auf die neueste stabile Chrome-156-Version aktualisieren, einschliesslich Remote-Arbeitsplätzen und BYOD-Geräten
• Browser-Versionen auf allen Endgeräten prüfen und sicherstellen, dass das Update nach einem Neustart aktiv ist
• Das Update im regulären Browser-Patchzyklus mit einer Priorität einplanen, die anderen Browser-Korrekturen mit hohem CVSS-Wert entspricht
• Den Katalog bekannter ausgenutzter Schwachstellen der CISA auf Änderungen überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
• Chromium issue tracker issues.chromium.org
• NVD record via Vulners vulners.com
• CVE list entry via Vulners vulners.com
• Ubuntu CVE tracker ubuntu.com
• HKCERT security bulletin for Microsoft Edge www.hkcert.org
• Strix CVE summary www.strix.ai
• Vulners MS CVE entry vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 13:41.