Google Chrome: Speicherbeschädigung in der Komponente Extensions
Zusammenfassung
Google Chrome für Desktop (Windows, macOS, Linux) und Android enthält eine Speicherbeschädigung in der Komponente Extensions. Ein entfernter Angreifer kann unter Umständen Speicherinhalte innerhalb der Browser-Sandbox auslesen, wenn ein Benutzer eine präparierte HTML-Seite öffnet. Die Ausnutzung erfordert, dass der Benutzer die Seite öffnet; Google stuft das Problem als Medium ein und es sind keine aktiven Angriffe bekannt.
Betroffen
- Google Chrome für Desktop unter Linux vor 156.0.8078.47
- Google Chrome für Desktop unter Windows und macOS vor 156.0.8078.47 oder 156.0.8078.48 (Herstellerangaben unterscheiden sich je Plattform)
- Google Chrome für Android vor 156.0.8078.47
- Chromium-basierte Browser, welche die vorgelagerte Korrektur übernehmen, z. B. Microsoft Edge (genaue Build-Version mit Korrektur unbekannt)
Behoben in
- Google Chrome 156.0.8078.47 (Linux, Android)
- Google Chrome 156.0.8078.47 oder 156.0.8078.48 (Windows, macOS)
- Debian: DSA 6577-1 und DLA 4853-1 (Sicherheitsmitteilungen der Distribution)
Umgehung
- Keine bekannt. Die Aktualisierung ist die einzige verfügbare Massnahme.
- Den Browser nach der Aktualisierung neu starten, da ein alter Browser-Prozess nach dem Update-Hinweis weiterlaufen kann.
- Unbekannt, ob Google eine Workaround-Option über Flags bereitstellt.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn. Zum Zeitpunkt der Quellen nicht im CISA-KEV-Katalog aufgeführt.
- EPSS 0.18% zum Zeitpunkt der Triage.
- Kein öffentlicher Proof of Concept gefunden.
- Google stuft den Schweregrad als Medium ein.
Unsere Empfehlung
- Google Chrome auf 156.0.8078.47 oder neuer unter Linux und Android bzw. auf 156.0.8078.47/156.0.8078.48 oder neuer unter Windows und macOS aktualisieren.
- Prüfen, ob Microsoft Edge und andere Chromium-basierte Browser ebenfalls aktualisiert sind.
- Sicherstellen, dass automatische Updates aktiviert sind, und Browser nach der Aktualisierung neu starten.
- Der NVD-Score beträgt 8.8, während MSRC 6.5 angibt. Für die Priorisierung den NVD-Score verwenden.
- CISA KEV und den Chromium-Fehler auf Statusänderungen beobachten. Dies gehört zum regulären Chrome-156-Update.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- Microsoft MSRC update guide entry msrc.microsoft.com
- Ubuntu CVE tracker ubuntu.com
- Vulners CVE aggregation vulners.com
- TechGeeks security notice: Google Chrome 156 stable www.techgeeks.org
- Windows Forum: Chrome 156 security update windowsforum.com
- GitHub CVE triage issue (EPSS, KEV status) github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 13:46.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.