Google Chrome: Use after free in WebRTC ermöglicht Codeausführung in Sandbox
Zusammenfassung
Eine Use-after-free-Schwachstelle in der WebRTC-Komponente von Google Chrome erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Chrome-Sandbox auszuführen. Der Angreifer benötigt, dass das Opfer eine präparierte HTML-Seite besucht, eine Anmeldung ist nicht erforderlich. Eine vollständige Kompromittierung würde zusätzlich ein Sandbox-Escape voraussetzen, das in dieser Beschreibung nicht erfasst ist. Es wurde keine Ausnutzung in freier Wildbahn und kein öffentlicher Proof-of-Concept gefunden.
Betroffen
- Google Chrome Desktop vor 156.0.8078.47 (CVE-Eintrag und Herstellerhinweis)
- Chromium-basierte Browser, die den Fix übernehmen, z. B. Microsoft Edge vor 156.0.4314.42 (ein Drittanbieter-Hinweis, nicht gegen die Microsoft-Meldung verifiziert)
- Android-Chrome-Versionen vor 156.0.8078.47 (Drittanbieter-Meldung)
- Chromium-Pakete von Linux-Distributionen: Unbekannt.
Behoben in
- Chrome 156.0.8078.47 für Linux
- Chrome 156.0.8078.47 oder 156.0.8078.48 für Windows und macOS
- Microsoft Edge 156.0.4314.42 oder neuer (Drittanbieter-Hinweis)
- Linux-Distributionen: Unbekannt, im Sicherheitstracker der Distribution prüfen.
Umgehung
Unbekannt. Es ist keine Workaround-Massnahme bekannt; Browser aktualisieren und neu starten.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Es wurden keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; der CISA-KEV-Status wurde nicht verifiziert.
- Es wurde kein öffentlicher Proof-of-Concept gefunden.
- Der angegebene EPSS-Wert beträgt 0.0056 (niedrig).
Unsere Empfehlung
- Alle Chrome-, Edge- und weiteren Chromium-basierten Browser und deren Versionen inventarisieren.
- Chrome auf 156.0.8078.47 oder neuer (Linux) bzw. 156.0.8078.47/.48 oder neuer (Windows und macOS) sowie Edge auf 156.0.4314.42 oder neuer aktualisieren.
- Browser nach dem Update neu starten, da der alte Prozess noch laufen kann.
- Bei Chromium aus Distributionspaketen den Herstellertracker auf eine gefixte Version prüfen; unter Ubuntu installierte Snap-Versionen kontrollieren.
- Mitarbeitende-Endgeräte mit starker Web-Nutzung priorisieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- Strix CVE record www.strix.ai
- Ubuntu security notice ubuntu.com
- Vulners MSCVE entry (Edge, EPSS) vulners.com
- HKCERT security bulletin (Microsoft Edge) www.hkcert.org
- Cybersecurity News: Chrome 156 security update cybersecuritynews.com
- Penligent: Chrome 156 security update www.penligent.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 13:31.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.