Google Chrome: Use-after-free-Schwachstelle in der Komponente Extensions
Zusammenfassung
Google Chrome Versionen vor 156.0.8078.47 enthalten eine Use-after-free-Schwachstelle (CWE-416) in der Komponente Extensions. Ein entfernter Angreifer kann mit einer präparierten HTML-Seite beliebigen Code innerhalb der Browser-Sandbox ausführen, sofern ein Benutzer die Seite aufruft. Google stuft die Schwachstelle intern als Low ein, während die NVD einen CVSS-3.1-Basiswert von 8.8 angibt. Eine Ausnutzung in freier Wildbahn ist nicht bekannt.
Betroffen
- Google Chrome vor 156.0.8078.47 (Desktop)
- Android Chrome Versionen vor 156.0.8078.47
Behoben in
- Chrome 156.0.8078.47 oder neuer (Linux)
- Chrome 156.0.8078.47/.48 oder neuer (Windows, Mac), gemäss Recherchenotizen
- Neuere stabile Chrome-156-Versionen enthalten die Korrektur ebenfalls. Die neueste stabile Version installieren.
- Ubuntu: Das Paket chromium-browser ist nicht betroffen; die Version des Chromium-Snaps prüfen
Umgehung
- Unbekannt, ob ein herstellerspezifischer Workaround existiert. Keiner gefunden.
- Installation nicht vertrauenswürdiger Browser-Erweiterungen einschränken und auf verwalteten Geräten eine Allowlist für Erweiterungen durchsetzen.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof-of-Concept gefunden.
- EPSS 0.00443 (niedrige prognostizierte Ausnutzungswahrscheinlichkeit).
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Chrome-Versionen auf allen Endgeräten erfassen und Browser unterhalb von 156.0.8078.47 identifizieren.
- Chrome über verwaltete Updates auf die neueste stabile Version aktualisieren.
- Browser nach dem Update neu starten und die laufende Version überprüfen.
- Andere Chromium-basierte Browser (zum Beispiel Microsoft Edge) separat auf ihre eigenen korrigierten Versionen prüfen.
- Installation von Erweiterungen wo möglich einschränken.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- Ubuntu CVE tracker ubuntu.com
- Vulners CVE record vulners.com
- Strix CVE record www.strix.ai
- Cybersecurity News: Chrome security update cybersecuritynews.com
- Penligent: Chrome 156 security update www.penligent.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 12:58.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.