Google Chrome für Android: Use after free in TrustedWebActivities
Zusammenfassung
Eine Use-after-free-Schwachstelle (CWE-416) in der Komponente TrustedWebActivities von Google Chrome für Android erlaubt einem entfernten Angreifer, potenziell beliebigen Code innerhalb der Browser-Sandbox auszuführen. Für die Ausnutzung muss das Opfer eine präparierte HTML-Seite öffnen, zum Beispiel über einen Link in E-Mails oder Nachrichten. Eine Authentifizierung ist nicht erforderlich, und der CVSS-Basiswert beträgt 8.8 (hoch).
Betroffen
- Google Chrome für Android vor 156.0.8078.47
- Hinweis: Der betroffene Bereich in der CVE-Beschreibung und die korrigierte Version beruhen auf den CVE-Daten und Sekundärquellen; eine Drittquelle nennt bis 155.0.8059.84, was der Herstellerangabe widerspricht und unbestätigt ist.
Behoben in
- Google Chrome für Android 156.0.8078.47 oder neuer
- Neuere Android-Builds werden gemeldet (z. B. 156.0.8078.73 über Google Play); diese Angaben stammen aus Sekundärquellen und sind unbestätigt.
Umgehung
- Keine Workaround bekannt. Die Aktualisierung von Chrome für Android ist die Korrektur.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn.
- Kein öffentlicher Proof-of-Concept bekannt.
- Chromium stuft das Problem als Medium ein; der CVSS-3.1-Basiswert beträgt 8.8. CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Die Chrome-Version auf allen Android-Geräten prüfen und mindestens auf 156.0.8078.47, vorzugsweise auf den aktuellen Google-Play-Build, aktualisieren.
- Automatische Updates über Google Play oder MDM erzwingen.
- Mitarbeitende daran erinnern, unbekannte Links aus E-Mails oder Nachrichten nicht zu öffnen.
- Das Google-Advisory und das Chromium-Issue prüfen, sobald sie zugänglich sind.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- VulDB CVE-2026-113204 vuldb.com
- Ubuntu security CVE-2026-113204 ubuntu.com
- Chrome 156 security update (Wikipedia Google Chrome) en.wikipedia.org
- Microsoft Edge multiple vulnerabilities (HKCERT) www.hkcert.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 13:03.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.