Google Chrome: Speicherbeschädigung in Bluetooth
Zusammenfassung
Eine Speicherbeschädigung in der Bluetooth-Komponente von Google Chrome erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Der Angreifer benötigt dafür, dass ein Opfer eine präparierte HTML-Seite öffnet, eine Authentifizierung ist nicht erforderlich. Die Codeausführung ist auf die Sandbox beschränkt, eine vollständige Kompromittierung würde daher wahrscheinlich zusätzlich eine Sandbox-Flucht erfordern. Der CVSS-3.1-Basiswert laut den vorliegenden Daten beträgt 8.8 (HIGH), dieser sollte jedoch auf NVD überprüft werden.
Betroffen
- Google Chrome vor 156.0.8078.47 (CVE-Eintrag)
- Microsoft Edge vor 156.0.4314.42 (HKCERT-Meldung, Edge wird separat aufgeführt)
Behoben in
- Google Chrome 156.0.8078.47 oder neuerer 156.x-Stable-Build (Chrome Releases, 20. Oktober 2026)
- Microsoft Edge 156.0.4314.42 oder neuer (HKCERT)
Umgehung
- Unbekannt. Es wurde kein Workaround des Herstellers gefunden. Die Behebung erfolgt durch das Einspielen des Updates.
Ausnutzung
- CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar.
- In den geprüften Quellen wurde keine Ausnutzung in freier Wildbahn und kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Google Chrome auf den neuesten 156.x-Stable-Build und Microsoft Edge auf 156.0.4314.42 oder neuer aktualisieren.
- Browser nach dem Update neu starten, da Chrome Updates erst nach einem Neustart anwendet.
- Die Browserversionen auf allen verwalteten Geräten prüfen, insbesondere auf denjenigen, die selten neu gestartet werden.
- CVSS-Bewertung und betroffene Versionen vor der finalen Berichterstattung auf NVD und der Chrome-Releases-Seite überprüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue 500536121 issues.chromium.org
- HKCERT security bulletin: Microsoft Edge multiple vulnerabilities www.hkcert.org
- Vulners CVE record CVE-2026-113131 vulners.com
- Ubuntu CVE tracker CVE-2026-113131 ubuntu.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 13:42.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.