Google Chrome: Use-after-free in ANGLE ermöglicht Codeausführung in Sandbox
Zusammenfassung
Ein Use-after-free-Fehler (CWE-416) in der Grafikkomponente ANGLE von Google Chrome erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Der Angreifer benötigt, dass ein Benutzer eine präparierte HTML-Seite öffnet, eine Authentifizierung ist nicht erforderlich. Die CVE-Daten beschreiben kein Sandbox-Escape, eine vollständige Kompromittierung des Systems ist durch diese CVE daher nicht abgedeckt.
Betroffen
- Google Chrome vor 156.0.8078.47 (gemäss CVE-Beschreibung)
- Der genaue betroffene Bereich im CVE-Eintrag ist widersprüchlich; mit dem Chrome-Advisory und NVD abgleichen
Behoben in
- Google Chrome 156.0.8078.47 oder neuer (Stable-Channel-Update vom 20. Oktober 2026)
- Neuere 156.x-Builds sind für Windows, Mac und Linux gemeldet; den neuesten 156.x-Build verteilen
Umgehung
- Keine bekannte Workaround-Massnahme. Chrome auf einen korrigierten Build aktualisieren.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn.
- CISA KEV: nicht aufgeführt.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Google Chrome auf allen Desktops auf den neuesten 156.x-Build aktualisieren und den Browser neu starten.
- Sicherstellen, dass auch Chromium-basierte Browser und Anwendungen (z. B. Microsoft Edge, Electron-Apps) aktualisiert sind.
- Herstellermeldungen für weitere Updates überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- VulDB CVE-2026-113200 vuldb.com
- Vulners CVE-2026-113200 vulners.com
- Ubuntu CVE-2026-113200 ubuntu.com
- Strix CVE-2026-113200 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 13:01.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.