Google Chrome: Speicherbeschädigung in WebAppInstalls auf Android
Zusammenfassung
Google Chrome für Android enthält eine Speicherbeschädigung in der Komponente WebAppInstalls (CWE-119). Ein Angreifer, der einen Benutzer zu einer präparierten HTML-Seite lockt, kann beliebigen Code ausserhalb der Browser-Sandbox ausführen. Der Angriff erfordert, dass der Benutzer die Seite öffnet, jedoch keine Berechtigungen. Die NVD bewertet die Schwachstelle mit 9.6 (kritisch), Chromium stuft sie als niedrig ein.
Betroffen
- Google Chrome für Android vor 156.0.8078.47 (CVE-Eintrag)
- Abweichende Sekundärquelle: Android-156-Builds ab 156.0.8078.73 enthalten die Korrekturen (nicht gegen Google verifiziert)
Behoben in
- Android: 156.0.8078.47 laut CVE-Eintrag; gegen die Android-Versionshinweise von Google prüfen
- Neuere Android-Stable-Version verfügbar: 157.0.8103.14 (laut Berichten 22. Oktober 2026)
Umgehung
- Unbekannt. Keine vom Hersteller dokumentierte Massnahme gefunden; das Update ist die Behebung.
Ausnutzung
- Nicht im CISA-KEV-Katalog aufgeführt (Community-Tracker).
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- In der Release-Berichterstattung wird keine bekannte Ausnutzung genannt; dies ist keine Bestätigung für diese CVE.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Android-Geräte mit Chrome inventarisieren und die Versionen prüfen.
- Sicherstellen, dass alle Geräte mindestens 156.0.8078.47 einsetzen, vorzugsweise die neueste Stable-Version.
- Prüfen, dass automatische Updates über Google Play nicht durch MDM-Richtlinien deaktiviert sind.
- Benutzer für Vorsicht bei unbekannten Links und Webinhalten sensibilisieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE record (Chromium issue tracker) issues.chromium.org
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Microsoft Security Update Guide entry msrc.microsoft.com
- VulDB entry vuldb.com
- Vulners CVE record vulners.com
- Chrome 156 security update coverage windowsforum.com
- Google Chrome release overview (Wikipedia) en.wikipedia.org
- Community tracker entry (KEV status) github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 22:32.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.