Google Chrome: Speicherfehler in Network-Komponente erlaubt Code-Ausführung in Sandbox
Zusammenfassung
Google Chrome vor 156.0.8078.47 enthält einen Speicherfehler in der Network-Komponente (CWE-119). Ein entfernter Angreifer kann durch eine präparierte HTML-Seite möglicherweise Code innerhalb der Browser-Sandbox ausführen. Der CVSS-3.1-Basiswert beträgt 8.8, Chromium stuft das Problem jedoch als Schweregrad Low ein, und die Beschreibung begrenzt die Auswirkung auf die Code-Ausführung innerhalb der Sandbox.
Betroffen
- Google Chrome vor 156.0.8078.47 (Desktop)
- Auf Chromium basierende Browser, die den betroffenen Chromium-Code verwenden, etwa Microsoft Edge, hängen von den korrigierten Builds ihres Herstellers ab (Edge: vor 156.0.4314.42 laut einer Drittquelle, nicht verifiziert)
Behoben in
- Google Chrome 156.0.8078.47 oder neuer (neuere Stable-Builds sind verfügbar und werden empfohlen)
- Debian DSA 6577-1 und DLA 4853-1 für Chromium
- Ubuntu: chromium-browser ist ein Snap-Wrapper, der Snap-Kanal ist zu prüfen
Umgehung
- Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround gefunden; Update einspielen.
Ausnutzung
- Zum Zeitpunkt der Recherche wurde keine aktive Ausnutzung festgestellt.
- Kein öffentlicher Proof-of-Concept gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Chrome und Edge auf den neuesten Stable-Build aktualisieren, mindestens 156.0.8078.47 (Edge: laut Bulletin mindestens 156.0.4314.42, bei Microsoft verifizieren).
- Alle Chrome- und Edge-Installationen inventarisieren und die Version prüfen.
- Sicherstellen, dass automatische Updates aktiviert sind.
- NVD und CISA KEV in einer Woche erneut prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- Microsoft MSRC update guide msrc.microsoft.com
- Ubuntu security tracker ubuntu.com
- Vulners CVE record vulners.com
- HKCERT security bulletin (Microsoft Edge) www.hkcert.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 13:24.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.