Google Chrome: Unzureichende Eingabevalidierung in FullScreen erlaubt Code-Ausführung in Sandbox
Zusammenfassung
Eine unzureichende Eingabevalidierung in der Komponente FullScreen von Google Chrome vor 156.0.8078.47 könnte es einem Angreifer aus der Ferne ermöglichen, potenziell beliebigen Code innerhalb der Browser-Sandbox auszuführen. Der Angreifer muss den Benutzer zu einer präparierten HTML-Seite locken, daher ist eine Benutzerinteraktion erforderlich. Google stuft das Problem mit der Chromium-Sicherheitsschwere Low ein, der CVSS-Basiswert beträgt 8.8.
Betroffen
- Google Chrome Desktop-Versionen vor 156.0.8078.47
- Gemäss Drittanbieter-Zusammenfassung der Release-Mitteilung: Chrome-Stable-Versionen vor 156.0.8078.47 unter Linux und Android; vor 156.0.8078.47 oder 156.0.8078.48 unter Windows und macOS
- Microsoft Edge vor 156.0.4314.42 (gemäss HKCERT-Advisory, nicht gegen MSRC geprüft)
- Unbekannt: genaue betroffene Versionsbereiche anderer Chromium-basierter Browser
Behoben in
- Google Chrome 156.0.8078.47 für Linux und Android
- Google Chrome 156.0.8078.47 oder 156.0.8078.48 für Windows und macOS
- Status bei Debian und Ubuntu unklar: Debian-Tracker zeigt möglicherweise keine Korrektur, Ubuntu markiert chromium-browser als nicht betroffen, da das Paket das Chromium-Snap installiert
Umgehung
- Dem Hersteller ist keine dokumentierte Workaround-Massnahme bekannt.
- Unbekannt.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn gefunden.
- Kein Eintrag im CISA-KEV-Katalog und kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Alle Google-Chrome-Endgeräte auf 156.0.8078.47 oder neuer aktualisieren (unter Windows und macOS auf 156.0.8078.48 oder neuer) und den Browser neu starten.
- Microsoft Edge und andere Chromium-basierte Browser prüfen und Herstellerupdates einspielen.
- Bei Verwendung von Distributionspaketen unter Linux die Chromium-Updates der Distribution einspielen.
- Das Chrome-156-Update als Ganzes einspielen, da es 353 Schwachstellen behebt.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker 506148052 issues.chromium.org
- Ubuntu CVE-2026-113214 ubuntu.com
- HKCERT Microsoft Edge security bulletin www.hkcert.org
- CyberSecurityNews: Chrome 156 security update fixing 353 flaws cybersecuritynews.com
- TechGeeks: Security notice Google Chrome 156 stable www.techgeeks.org
- Vulners NVD mirror CVE-2026-113214 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 12:57.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.