Google Chrome: Speicherfehler in der Omnibox
Zusammenfassung
Ein Speicherfehler in der Omnibox (Adress- und Suchleiste) von Google Chrome erlaubt einem entfernten Angreifer, möglicherweise beliebigen Code innerhalb der Browser-Sandbox auszuführen. Der Angriff setzt voraus, dass ein Opfer eine präparierte HTML-Seite öffnet. Eine vollständige Kompromittierung des Systems würde normalerweise zusätzlich eine Sandbox-Flucht erfordern.
Betroffen
- Google Chrome (Desktop) vor 156.0.8078.47
Behoben in
- Google Chrome 156.0.8078.47 und neuer (Linux, gemäss Sekundärberichten)
- Google Chrome 156.0.8078.47 oder 156.0.8078.48 (Windows und macOS, gemäss Sekundärberichten; gegen die Herstellermitteilung prüfen)
- Google Chrome für Android 156.0.8078.47, verteilt über Google Play über mehrere Tage
- Microsoft Edge 156.0.4314.42 oder neuer (gemäss Bulletin einer staatlichen CERT)
- Ubuntu: chromium-browser ist nicht betroffen, da das Paket das Chromium-Snap installiert; den Snap-Kanal aktualisieren
Umgehung
Unbekannt. In den Quellen ist kein Workaround dokumentiert. Die Behebung ist das Browser-Update.
Ausnutzung
- Keine Hinweise auf aktive Ausnutzung gefunden.
- Kein öffentlicher Proof of Concept gefunden; dies beweist nicht, dass keiner existiert.
- Ein Drittanbieter-Tracker listet die CVE nicht im CISA-KEV-Katalog; nicht direkt geprüft.
Unsere Empfehlung
- Google Chrome auf allen Desktops und Android-Geräten auf 156.0.8078.47 oder neuer aktualisieren und den Browser neu starten, damit das Update wirksam wird.
- Microsoft Edge und Snap-basiertes Chromium auf die behobenen Versionen aktualisieren.
- Mit Chrome Browser Cloud Management oder einem vergleichbaren Werkzeug Geräte mit einem älteren Build finden.
- Die Build-Nummern vor dem Rollout mit dem Chrome-Releases-Beitrag abgleichen und vor dem Schliessen des Tickets den KEV-Status und die Verfügbarkeit eines PoC erneut prüfen.
- Das Update im normalen Browser-Patchzyklus einspielen, mit schnellerer Verteilung für aus dem Internet erreichbare oder risikoreiche Benutzer.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- Ubuntu CVE tracker ubuntu.com
- Hong Kong CERT: Microsoft Edge multiple vulnerabilities www.hkcert.org
- Vulners CVE record CVE-2026-113176 vulners.com
- Cyberexperts: Chrome 156 update cyberexperts.com
- Dijitalturk: Chrome 156 update patches 353 security vulnerabilities dijitalturk.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 13:16.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.