Google Chrome: Use-after-free in Paint ermöglicht Codeausführung in Sandbox
Zusammenfassung
Eine Use-after-free-Schwachstelle (CWE-416) in der Komponente Paint von Google Chrome erlaubt es einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Der Angreifer benötigt, dass der Benutzer eine präparierte HTML-Seite lädt, zum Beispiel über einen Link oder eine bösartige Website, und es ist keine Authentifizierung erforderlich. Eine vollständige Kompromittierung des Geräts würde normalerweise zusätzlich einen Sandbox-Escape erfordern, für den keine Hinweise gefunden wurden.
Betroffen
- Google Chrome vor 156.0.8078.47 (Windows, macOS, Linux)
- Microsoft Edge (Chromium-basiert) vor 156.0.4314.42 (Sekundärquelle: HKCERT)
Behoben in
- Google Chrome 156.0.8078.47 oder neuer. Die Build-Nummern unterscheiden sich je nach Plattform (156.0.8078.47 oder 156.0.8078.48 gemäss Sekundärquellen).
- Es existieren neuere stabile Chrome-156-Builds; der neueste stabile Build wird empfohlen.
- Microsoft Edge 156.0.4314.42 oder neuer (Sekundärquelle).
Umgehung
Unbekannt. Es ist kein Workaround des Herstellers dokumentiert. Die Einschränkung des Browsings auf vertrauenswürdige Websites reduziert die Exposition bis zur Aktualisierung, dies ist jedoch keine Empfehlung des Herstellers.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn in den geprüften Quellen (Strix-Snapshot vom 20. Oktober 2026: nicht im KEV-Katalog gelistet).
- Kein öffentlicher Proof of Concept gefunden.
- Den CISA-KEV-Katalog in den nächsten Tagen erneut prüfen.
Unsere Empfehlung
- Chrome- und Edge-Versionen auf allen Endgeräten inventarisieren, einschliesslich Linux und macOS.
- Chrome auf den neuesten stabilen Build und Edge auf 156.0.4314.42 oder neuer prioritär aktualisieren.
- Sicherstellen, dass das automatische Update aktiviert ist, und Geräte prüfen, die offline oder unverwaltet waren.
- Den CISA-KEV-Katalog und die Versionshinweise von Google auf Berichte über Ausnutzung überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- HKCERT security bulletin: Microsoft Edge multiple vulnerabilities www.hkcert.org
- Chrome Releases: Stable Channel Update for ChromeOS chromereleases.googleblog.com
- Vulners: CVE-2026-113179 (CVELIST) vulners.com
- Ubuntu security: CVE-2026-113179 ubuntu.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 13:18.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.