Google Chrome: Use-after-free in Extensions

Zusammenfassung

Ein Use-after-free-Fehler in der Komponente Extensions von Google Chrome vor 156.0.8078.47 erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Sandbox auszuführen. Der Angreifer benötigt dazu, dass das Opfer eine präparierte HTML-Seite öffnet, es ist also eine Benutzerinteraktion erforderlich. Da der Code innerhalb der Sandbox ausgeführt wird, kann für eine vollständige Kompromittierung eine zusätzliche Sandbox-Flucht nötig sein; dies ist eine Ableitung und keine Aussage des Herstellers.

Betroffen

• Google Chrome vor 156.0.8078.47
• Chromium-basierte Browser, die den Fix übernehmen, etwa Microsoft Edge, richten sich nach den eigenen Herstellerhinweisen
• Linux-Chromium-Pakete (Snap oder Distributionspakete): Der Status variiert; Ubuntu listet chromium-browser als nicht betroffen, da es sich um einen Snap-Wrapper handelt; Debian-Paketversionen unbekannt

Behoben in

• Google Chrome 156.0.8078.47 oder neuer (Windows- und macOS-Builds werden mit 156.0.8078.48 angegeben)
• Es wird empfohlen, den neuesten Chrome-Stable-Build zu installieren, da spätere Chrome-156-Builds (zum Beispiel 156.0.8078.73 und 156.0.8078.79) weitere Schwachstellen beheben
• Microsoft Edge 156.0.4314.42 oder neuer laut einem Sekundärhinweis (nicht gegen MSRC verifiziert)
• Debian DSA 6577-1 und DLA 4853-1 veröffentlicht, genaue Paketversionen unbekannt

Umgehung

Unbekannt. Es ist kein Workaround des Herstellers dokumentiert, da ein Patch verfügbar ist. Allgemeine Härtungsmassnahmen wie die Erzwingung automatischer Updates und die Beschränkung auf genehmigte Erweiterungen reduzieren das Risiko, sind aber keine dokumentierte Behebung.

Ausnutzung

• CISA SSVC: Exploitation none, nicht automatisierbar, technische Auswirkung total
• Im Rahmen der Recherche wurde kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn gefunden
• Nicht gegen den CISA-KEV-Katalog verifiziert
• Chromium-Schweregrad: Medium; CVSS 3.1 Basisscore 8.8; EPSS 0.00443

Unsere Empfehlung

• Alle verwalteten Chrome- und Chromium-basierten Browser (inklusive Edge) jetzt auf den neuesten Stable-Build aktualisieren
• Versionen auf allen Endgeräten prüfen und unverwaltete Arbeitsplätze priorisieren
• Linux-Chromium-Snap- oder Distributionspakete prüfen
• Automatische Updates erzwingen und die Installation nicht vertrauenswürdiger Browser-Erweiterungen einschränken
• Mitarbeitende für Phishing- und Risiken durch bösartige Websites sensibilisieren

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
• Chromium issue tracker issues.chromium.org
• CVE record (Vulners CVELIST) vulners.com
• Ubuntu security notice CVE-2026-113174 ubuntu.com
• Microsoft Edge advisory (HKCERT) www.hkcert.org
• Google Chrome version context (Wikipedia) en.wikipedia.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 13:15.