Google Chrome: Use after free in Loader ermöglicht Codeausführung in Sandbox
Zusammenfassung
Eine Use-after-free-Schwachstelle (CWE-416) in der Loader-Komponente von Google Chrome erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Für die Ausnutzung muss das Opfer eine präparierte HTML-Seite aufrufen, etwa über Phishing oder eine kompromittierte Website. Die CVE-Beschreibung nennt kein Ausbrechen aus der Sandbox, und Chromium stuft das Problem als Low ein.
Betroffen
- Google Chrome vor 156.0.8078.47 (gemäss CVE-Beschreibung)
- Chromium-basierte Produkte, die den betroffenen Code verwenden, sind nicht bestätigt; Ubuntu listet sein chromium-browser-Snap als nicht betroffen
- Microsoft Edge: Korrigierte Version laut Angabe 156.0.4314.42 oder neuer (nicht gegen Microsoft geprüft)
Behoben in
- Google Chrome 156.0.8078.47 oder neuer (neueste stabile Version empfohlen; neuere Builds sind verfügbar)
- Microsoft Edge 156.0.4314.42 oder neuer (nicht verifiziert)
- Debian-Chromium-Updates DSA 6577-1 und DLA 4853-1 (Inhalt nicht geprüft)
Umgehung
- Kein Workaround nötig, sofern ein Patch verfügbar ist
- Wo Updates blockiert sind, Browsing auf vertrauenswürdige Seiten beschränken oder verwaltete Browser-Richtlinien einsetzen; ein herstellerspezifischer Workaround ist nicht bekannt
Ausnutzung
- Kein Hinweis auf Ausnutzung in freier Wildbahn gefunden; nicht gegen den CISA-KEV-Katalog geprüft
- Kein öffentlicher Proof of Concept gefunden
- EPSS 0.00417 für den verwandten Chromium-Eintrag (geringe geschätzte Wahrscheinlichkeit)
Unsere Empfehlung
- Google Chrome und Chromium-basierte Browser, einschliesslich Microsoft Edge, über die normalen Update-Kanäle auf die neueste stabile Version aktualisieren
- Installierte Browser-Versionen im gesamten Bestand prüfen, auch bei nicht verwalteten Installationen
- Prüfen, ob automatische Browser-Updates per Richtlinie deaktiviert sind, und sicherstellen, dass Browser nach Updates neu gestartet werden
- Auf Hinweise auf Ausnutzung achten und das Herstelleradvisory prüfen, sobald es zugänglich ist
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- VulDB 424399 vuldb.com
- Vulners CVE-2026-113229 (CVELIST) vulners.com
- Ubuntu security CVE-2026-113229 ubuntu.com
- Strix CVE-2026-113229 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 12:47.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.