Google Chrome: Speicherbeschädigung in Scheduling ermöglicht Code-Ausführung in Sandbox
Zusammenfassung
Google Chrome vor 156.0.8078.47 enthält eine Speicherbeschädigung in der Komponente Scheduling. Ein entfernter Angreifer kann über eine präparierte HTML-Seite möglicherweise beliebigen Code innerhalb der Browser-Sandbox ausführen. Der Angriff setzt voraus, dass der Benutzer die schädliche Seite öffnet, zum Beispiel über einen Link oder eine kompromittierte Website.
Betroffen
- Google Chrome vor 156.0.8078.47 (gemäss CVE-Beschreibung)
- Vom Hersteller angegebener Bereich gemäss CVE-Eintrag: 156.0.8078.47 bis < 156.0.8078.47
- Andere Drittquellen nennen einen abweichenden Bereich (bis 155.0.8059.84); massgeblich ist der Herstellerbereich
Behoben in
- Google Chrome 156.0.8078.47 oder neuer (Linux, Windows, Mac gemäss HKCERT)
- Empfohlenes Ziel: ein späterer stabiler Build wie 156.0.8078.73 oder neuer, der diese Korrektur ebenfalls enthält (Aufnahme für dieses CVE nicht bestätigt)
- Chromium-basierte Produkte wie Microsoft Edge und Chromium-Pakete von Linux-Distributionen erhalten ebenfalls Korrekturen
Umgehung
- Unbekannt. In den geprüften Quellen ist keine Massnahme dokumentiert.
- Das Einspielen des Updates ist die praktische Gegenmassnahme.
Ausnutzung
- Aktive Ausnutzung: Keine Hinweise gefunden. Der Strix-Aggregator führt KEV: No; der CISA-KEV-Katalog wurde nicht direkt geprüft.
- Öffentlicher Proof of Concept: Keiner gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- VulDB führt den Status als 0-Day; dies ist nicht erklärt und kein Beleg für eine Ausnutzung.
Unsere Empfehlung
- Google Chrome auf allen Endgeräten auf 156.0.8078.47 oder neuer aktualisieren, möglichst auf den neuesten stabilen Build.
- Die Browserversion auf allen verwalteten Geräten prüfen, insbesondere dort, wo das automatische Update blockiert ist oder der Browser selten neu gestartet wird.
- Den Browser nach dem Update neu starten, damit die neue Version wirksam wird.
- Geräte priorisieren, die nicht vertrauenswürdige Webinhalte aufrufen.
- Dasselbe Update auf Chromium-basierte Browser wie Microsoft Edge anwenden.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE description and NVD data vulners.com
- Chrome Releases: Stable Channel Update for Desktop (cited by CVE) chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- HKCERT security bulletin www.hkcert.org
- VulDB entry vuldb.com
- Strix CVE record www.strix.ai
- Debian/Chromium CVE listing vulners.com
- Betanews: Chrome and Firefox security patches betanews.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 13:11.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.