Google Chrome: Speicherbeschädigung in Bindings erlaubt Codeausführung in Sandbox
Zusammenfassung
Der Desktop-Browser Google Chrome enthält eine Speicherbeschädigung (CWE-119) in der Komponente Bindings, die Web-APIs mit den internen Funktionen des Browsers verbindet. Ein entfernter Angreifer kann über eine präparierte HTML-Seite möglicherweise beliebigen Code innerhalb der Browser-Sandbox ausführen. Das Opfer muss die Seite aufrufen, eine Authentifizierung ist nicht nötig. Laut Beschreibung ist die Auswirkung auf die Sandbox begrenzt, eine vollständige Kompromittierung würde in der Regel einen weiteren Sandbox-Ausbruch erfordern.
Betroffen
- Google Chrome Desktop vor 156.0.8078.47
Behoben in
- Google Chrome 156.0.8078.47 oder neuer
- Die genauen korrigierten Builds für Windows und macOS (156.0.8078.47 oder .48) sind in der Herstellerquelle nicht bestätigt.
Umgehung
Unbekannt. Kein Workaround des Herstellers gefunden. Das Aktualisieren ist die Behebung.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar nein.
- Kein Eintrag im CISA-KEV-Katalog gefunden.
Unsere Empfehlung
- Google Chrome auf allen Desktops auf 156.0.8078.47 oder neuer aktualisieren.
- Den Browser nach dem Update neu starten, da alte Prozesse weiterlaufen können.
- Die Version auf verwalteten Endgeräten prüfen, da gestaffelte Ausrollungen verzögert sein können.
- Den CVSS-Wert in der NVD bestätigen, da die Quellen abweichen (8.8 gegenüber 6.3).
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Google Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- HKCERT security bulletin: Google Chrome multiple vulnerabilities www.hkcert.org
- Ubuntu security tracker: CVE-2026-113150 ubuntu.com
- VulDB entry 424337 vuldb.com
- Vulners CVE record: CVE-2026-113150 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 13:34.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.