Google Chrome: Fehlerhafte Eingabeprüfung in Extensions erlaubt Sandbox-Codeausführung
Zusammenfassung
Eine fehlerhafte Eingabeprüfung in der Komponente Extensions von Google Chrome für Desktop erlaubt einem entfernten Angreifer, möglicherweise Code innerhalb der Browser-Sandbox auszuführen. Der Angreifer benötigt dafür, dass das Opfer eine präparierte HTML-Seite öffnet; der CVSS-Wert beträgt 8.8 (hoch). Codeausführung innerhalb der Sandbox allein verschafft keine volle Kontrolle über das System, bleibt aber eine ernsthafte Browser-Schwachstelle. In den geprüften Quellen wurden weder Ausnutzung noch ein öffentlicher Proof-of-Concept gefunden.
Betroffen
- Chrome-Desktop-Versionen vor 156.0.8078.47 unter Linux
- Chrome-Desktop-Versionen vor 156.0.8078.47 oder 156.0.8078.48 unter Windows und macOS
- Sekundäre Quellen melden abweichende Bereiche; für die genaue Versionsliste ist die Empfehlung von Google massgebend
Behoben in
- Linux: 156.0.8078.47 oder neuer
- Windows und macOS: 156.0.8078.47 oder 156.0.8078.48 oder neuer
- Microsoft Edge und andere Chromium-basierte Builds: korrigierter Build unbekannt; beim Hersteller prüfen
Umgehung
Nach der Installation des Updates ist kein Workaround nötig. Bis dahin die Installation von Extensions über Chrome-Enterprise-Richtlinien einschränken und nicht benötigte Extensions entfernen (Empfehlung der Autoren, nicht aus einer Quelle).
Ausnutzung
- CISA-SSVC-Bewertung im CVE-Eintrag: Ausnutzung keine, automatisierbar nein, technische Auswirkung total
- Kein öffentlicher Proof-of-Concept gefunden
- In den geprüften Quellen nicht als aktiv ausgenutzt gelistet
Unsere Empfehlung
- Chrome für Desktop auf 156.0.8078.47 oder neuer aktualisieren (unter Windows und macOS auf 156.0.8078.48 oder neuer)
- Den Browser nach dem Update vollständig neu starten, damit die neue Version läuft
- Die Browser-Version auf allen Endgeräten prüfen, auch in verwalteten Flotten
- Die korrigierten Builds von Edge und Chromium anhand der Herstellerhinweise bestätigen
- Extensions auf die tatsächlich benötigten beschränken
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker 477664550 issues.chromium.org
- Microsoft Security Update Guide: CVE-2026-113231 msrc.microsoft.com
- VulDB: CVE-2026-113231 vuldb.com
- Cybersecurity News: Chrome security update fixing 353 flaws cybersecuritynews.com
- Vulners: NVD record CVE-2026-113231 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 12:48.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.