Google Chrome: Speicherbeschädigung in ServiceWorker
Zusammenfassung
Google-Chrome-Desktop-Versionen vor 156.0.8078.47 enthalten eine Speicherbeschädigung in ServiceWorker (CWE-119). Ein entfernter Angreifer kann über eine präparierte HTML-Seite möglicherweise beliebigen Code ausserhalb der Browser-Sandbox ausführen. Voraussetzung ist, dass ein Benutzer die präparierte Seite aufruft; Google stuft das Problem als Medium ein, während NVD in den gelieferten Daten einen CVSS-3.1-Wert von 9.6 (Critical) angibt.
Betroffen
- Google-Chrome-Desktop-Versionen vor 156.0.8078.47 (CVE-Beschreibung).
- Gemäss Sekundärquellen: Windows- und macOS-Versionen vor 156.0.8078.47 oder 156.0.8078.48; Linux-Versionen vor 156.0.8078.47.
- Microsoft Edge (Chromium) vor 156.0.4314.42.
- Ubuntu-Paket chromium-browser: nicht betroffen; die installierte Chromium-Snap muss geprüft werden.
- Android-Chrome: Eine Sekundärquelle nennt Versionen vor 156.0.8078.47, für diese CVE nicht bestätigt.
Behoben in
- Google Chrome 156.0.8078.47 oder neuer (Linux); 156.0.8078.47 oder 156.0.8078.48 oder neuer (Windows, macOS) gemäss Sekundärquellen.
- Microsoft Edge 156.0.4314.42 oder neuer.
- Die genaue Version im Chrome-Releases-Beitrag prüfen.
Umgehung
- Kein vom Hersteller dokumentierter Workaround. Das Browser-Update einspielen.
- Den Browser nach dem Update neu starten, da der alte Prozess noch laufen kann.
- Unbekannt: ob eine Chrome-Richtlinie die Exposition gegenüber ServiceWorker verringert.
Ausnutzung
- CISA KEV: nicht gelistet.
- Aktive Ausnutzung: kein Nachweis gefunden; Sekundärberichte melden allgemein keine bekannte Ausnutzung des Chrome-156-Releases.
- EPSS: 0.00451 (Vulners).
- Öffentlicher Proof of Concept: unbekannt.
Unsere Empfehlung
- Alle Chrome-, Edge- und anderen Chromium-basierten Browser inventarisieren, einschliesslich Linux-Snap-Installationen.
- Chrome auf 156.0.8078.47 oder neuer (Linux) bzw. 156.0.8078.47/.48 oder neuer (Windows, macOS) und Edge auf 156.0.4314.42 oder neuer aktualisieren.
- Browser nach dem Update neu starten und Updates auf verwalteten Geräten durchsetzen.
- NVD-Bewertung und Chrome-Advisory auf Angaben zur Sandbox und zum Ausnutzungsstatus erneut prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- Ubuntu CVE tracker ubuntu.com
- HKCERT security bulletin (Microsoft Edge) www.hkcert.org
- Chrome 156 security update summary (Cybersecurity News) cybersecuritynews.com
- Security notice Google Chrome 156 stable (TechGeeks) www.techgeeks.org
- Chrome 156 security update (Windows Forum) windowsforum.com
- Vulners EPSS record vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 22:30.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.