Google Chrome Passwords: Speicherfehler erlaubt Codeausführung in Sandbox
Zusammenfassung
Google-Chrome-Desktopversionen vor 156.0.8078.47 enthalten einen Speicherfehler in der Komponente Passwords (CWE-119). Ein entfernter Angreifer kann durch eine manipulierte HTML-Seite beliebigen Code innerhalb der Browser-Sandbox ausführen, wenn er einen Benutzer dazu bringt, die Seite aufzurufen. Die Beschreibung nennt keine Sandbox-Ausbruch, daher wird eine vollständige Kompromittierung des Systems durch diese CVE nicht beschrieben.
Betroffen
- Google-Chrome-Desktopversionen vor 156.0.8078.47
- Auf Chromium basierende Produkte, die denselben Passwords-Code enthalten, sind in diesem Eintrag nicht erfasst; die Advisories der jeweiligen Hersteller prüfen
Behoben in
- Google Chrome 156.0.8078.47 oder neuer (Linux)
- Google Chrome 156.0.8078.47 oder neuer (Windows und macOS, gemäss Sekundärberichten)
- Genaue Build-Nummern anhand des Chrome-Releases-Advisory überprüfen, das während der Recherche nicht direkt zugänglich war
Umgehung
- Keine Workaround bekannt. Chrome-Update einspielen.
- Chrome nach dem Update vollständig neu starten, da möglicherweise noch ein alter Browser-Prozess läuft.
Ausnutzung
- Ausnutzung in freier Wildbahn: Unbekannt. Es wurden keine Berichte über Ausnutzung gefunden.
- Öffentlicher Proof of Concept: Keiner gefunden.
- Google stuft die Lücke als niedrig ein (Chromium-Sicherheitsschweregrad). NVD-Basiswert: 8.8 (CVSS 3.1, AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H).
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Google Chrome auf allen Endgeräten, einschliesslich verwalteter Geräte, auf 156.0.8078.47 oder neuer aktualisieren und den Browser neu starten.
- Die installierte Chrome-Version zentral prüfen, zum Beispiel über das Endpoint-Management-Werkzeug.
- Updates laufend überwachen und dieses Release als Teil des umfassenden Sicherheitsupdates von Chrome 156 behandeln, das zahlreiche Korrekturen enthält.
- Auf Chromium basierende Browser und Linux-Pakete in der eigenen Umgebung anhand der Advisories der jeweiligen Hersteller prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- Vulners CVE record (CVELIST) vulners.com
- Strix CVE summary www.strix.ai
- Cybersecurity News: Chrome 156 security update cybersecuritynews.com
- GBHackers: Chrome 156 security fixes gbhackers.com
- Ubuntu CVE tracker ubuntu.com
- Windows Forum: Chrome 156 security update windowsforum.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 13:21.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.