Google Chrome für Android: Unzureichende Eingabevalidierung in der Benutzeroberfläche
Zusammenfassung
Eine unzureichende Eingabevalidierung in der Benutzeroberfläche von Google Chrome für Android vor 156.0.8078.47 kann von einem entfernten Angreifer ausgenutzt werden. Eine präparierte HTML-Seite, die ein Benutzer öffnet, könnte zur Ausführung von beliebigem Code innerhalb der Sandbox des Browsers führen. Für den Angriff ist keine Anmeldung nötig, aber eine Interaktion des Benutzers. Google stuft die Lücke als niedrig ein, während die CNA sie mit CVSS 8.8 (CVSS 3.1) bewertet, weshalb die Auswirkung anhand der Herstellerinformation geprüft werden sollte.
Betroffen
- Google Chrome für Android vor 156.0.8078.47
- Andere Plattformen sind in diesem Eintrag nicht abgedeckt (der CNA-Eintrag nennt Google Chrome allgemein)
Behoben in
- Chrome für Android 156.0.8078.47 (Angaben aus Sekundärquellen, nicht durch die Herstellerseite bestätigt)
- Neuere Chrome-156-Versionen (zum Beispiel 156.0.8078.79 oder neuer) werden gemeldet, sind für diese CVE aber nicht verifiziert
Umgehung
- Nicht anwendbar: Eine korrigierte Version ist verfügbar. Chrome über Google Play aktualisieren.
Ausnutzung
- Keine Hinweise auf aktive Ausnutzung gefunden.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Google stuft die Lücke als niedrig ein.
- Eine Exploit-Preisschätzung von VulDB (USD 5k bis 25k) ist eine Marktschätzung und kein Beleg für eine Ausnutzung.
Unsere Empfehlung
- Prüfen, ob Chrome für Android auf allen verwalteten Geräten auf 156.0.8078.47 oder neuer steht, idealerweise auf der neuesten Chrome-156-Version.
- Den Update-Status auf BYOD-Telefonen und -Tablets kontrollieren, da diese das Hauptrisiko darstellen.
- Sicherstellen, dass Chrome-Updates aktiviert und automatisch sind.
- Die Google-Mitteilung und das Chromium-Issue 553274389 prüfen, sobald sie lesbar sind.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue 553274389 issues.chromium.org
- VulDB entry 424385 vuldb.com
- Strix CVE summary www.strix.ai
- Windows Forum: Chrome 156 security update windowsforum.com
- Chrome Geek: Chrome 156 security update (21 fixes) www.chromegeek.com
- Wikipedia: Google Chrome en.wikipedia.org
- The Hans India: Chrome 156 update www.thehansindia.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 13:26.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.