Google Chrome: Speicherfehler in Omnibox ermöglicht Codeausführung in Sandbox

Zusammenfassung

Google Chrome Versionen vor 156.0.8078.47 enthalten einen Speicherfehler (Memory Corruption) in der Omnibox, der Adressleiste. Ein entfernter Angreifer kann durch eine präparierte HTML-Seite beliebigen Code innerhalb der Sandbox des Browsers ausführen. Für den Angriff ist keine Anmeldung nötig, das Opfer muss die Seite jedoch aufrufen, zum Beispiel über einen Phishing-Link oder eine bösartige Werbung. Laut Beschreibung ist die Auswirkung auf die Codeausführung innerhalb der Sandbox begrenzt; eine vollständige Übernahme des Systems würde zusätzlich einen separaten Sandbox-Ausbruch erfordern.

Betroffen

• Google Chrome vor 156.0.8078.47 (NVD)
• Google Chrome bis 155.0.8059.84 (Bereich laut VulDB)
• Chromium-basierte Browser mit der Chromium-Open-Source-Komponente, inklusive Microsoft Edge (HKCERT-Hinweis betrifft Edge-Versionen vor 156.0.4314.42)
• Linux-Distributionen: Das Ubuntu-Paket chromium-browser (deb) wird als nicht betroffen gelistet; relevant ist das Chromium-Snap-Paket

Behoben in

• Google Chrome 156.0.8078.47 oder neuer (Linux)
• Google Chrome 156.0.8078.48 oder neuer (Windows und Mac, empfohlen; neuere 156er-Builds sind verfügbar)
• Microsoft Edge 156.0.4314.42 oder neuer (gemäss HKCERT)
• Debian: DSA 6577-1 (gemeldet, nicht direkt überprüft)

Umgehung

• Keine bekannt. Das Update des Herstellers ist die Massnahme.
• Chrome wendet Updates nach einem Neustart an; Benutzer müssen den Browser nach dem Update neu starten.

Ausnutzung

• Keine Ausnutzung in freier Wildbahn gemeldet.
• Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog aufgeführt.
• Kein öffentlicher Proof-of-Concept gefunden.
• CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• Chromium stuft das Problem als Medium ein; NVD bewertet es mit CVSS 8.8, VulDB mit 6.3.

Unsere Empfehlung

• Alle Chrome- und Edge-Installationen innerhalb weniger Tage auf die fixen Versionen aktualisieren.
• Installierte Builds auf den Endgeräten überprüfen, zum Beispiel über MDM oder das Chrome-Enterprise-Reporting.
• Automatische Updates und Browser-Neustarts über die Verwaltungswerkzeuge erzwingen.
• Ubuntu-Systeme auf die Version des Chromium-Snap-Pakets statt des deb-Pakets prüfen.
• Benutzer für Phishing-Links und bösartige Werbung sensibilisieren, da dies der wahrscheinliche Angriffsweg ist.
• CISA KEV und die Chrome-Release-Notes auf Änderungen beim Ausnutzungsstatus überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
• Chromium issue tracker entry issues.chromium.org
• Microsoft Security Update Guide: CVE-2026-113206 msrc.microsoft.com
• NVD record mirror: CVE-2026-113206 vulners.com
• VulDB entry 424558 vuldb.com
• Ubuntu security tracker: CVE-2026-113206 ubuntu.com
• HKCERT security bulletin on Microsoft Edge vulnerabilities www.hkcert.org
• Vulners mirror: Debian/MS advisory for CVE-2026-113206 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 13:04.