Google Chrome: Use-after-free in Variations erlaubt Codeausführung in Sandbox
Zusammenfassung
Google Chrome-Versionen vor 156.0.8078.47 enthalten eine Use-after-Free-Schwachstelle (CWE-416) in der Komponente Variations. Ein entfernter Angreifer kann durch eine präparierte HTML-Seite beliebigen Code innerhalb der Browser-Sandbox ausführen. Eine Anmeldung ist nicht erforderlich, das Opfer muss die Seite jedoch öffnen. Chromium stuft das Problem als Medium ein, NVD vergibt einen CVSS-3.1-Basiswert von 8.8.
Betroffen
- Google Chrome vor 156.0.8078.47 (gemäss NVD-Beschreibung)
- Microsoft Edge (Chromium-basiert) vor 156.0.4314.42 (gemäss HKCERT-Meldung)
- Debian-Pakete chromium, die diese CVE referenzieren (DSA 6577-1, DLA 4853-1)
- Ubuntu-Pakete chromium-browser werden als nicht betroffen markiert (Chromium-Snap)
Behoben in
- Google Chrome 156.0.8078.47 für Linux
- Google Chrome 156.0.8078.47/.48 für Windows und macOS (Quellen weichen ab; .48 ist das sichere Ziel, im Hersteller-Advisory bestätigen)
- Microsoft Edge 156.0.4314.42 oder neuer
- Neuere Stable-Versionen sind verfügbar; die aktuelle Stable-Version installieren
Umgehung
- Unbekannt. Der Hersteller dokumentiert keine Zwischenmassnahme. Update installieren.
- Browser nach dem Update vollständig neu starten, da ein laufender alter Prozess weiterhin verwundbar ist.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof-of-Concept gefunden.
- Ein Drittanbieter-Tracker führt die CVE nicht im CISA-KEV-Katalog (nicht gegen CISA geprüft).
Unsere Empfehlung
- Alle Chrome- und Edge-Installationen auf die aktuelle Stable-Version aktualisieren, einschliesslich Linux-Systemen mit Chromium-Paketen.
- Die installierte Version auf jedem Endgerät prüfen und im Hersteller-Advisory den genauen Build für Windows/macOS kontrollieren.
- Browser nach dem Update neu starten, damit der korrigierte Code aktiv ist.
- Auf endpunkten ungewöhnliche Browser-Abstürze oder unerwartete Codeausführung überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- Ubuntu security tracker CVE-2026-113205 ubuntu.com
- Vulners CVE-2026-113205 (Debian) vulners.com
- HKCERT Microsoft Edge security bulletin www.hkcert.org
- GBHackers: Chrome 156 fixes 353 security vulnerabilities gbhackers.com
- Penligent: Chrome 156 security update www.penligent.ai
- Windows Forum: Chrome 156 security update windowsforum.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 13:04.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.