Google Chrome für Android: Out-of-Bounds-Read in Core-Komponente
Zusammenfassung
Google Chrome für Android vor 156.0.8078.47 enthält einen Out-of-Bounds-Read in der Core-Komponente (CWE-125). Ein entfernter Angreifer kann mit einer präparierten HTML-Seite potenziell beliebigen Code innerhalb der Browser-Sandbox ausführen. Das Opfer muss die Seite öffnen; die Quellen bestätigen nicht, ob für eine vollständige Kompromittierung zusätzlich ein Sandbox-Escape nötig ist.
Betroffen
- Google Chrome für Android vor 156.0.8078.47
- Desktop-Plattformen sind gemäss dem CVE-Text nicht Gegenstand dieser CVE
Behoben in
- Chrome für Android 156.0.8078.47 oder neuer (gemäss Sekundärberichten; der Android-spezifische Eintrag von Google konnte nicht überprüft werden)
- Neuere Android-Builds (zum Beispiel 156.0.8078.79 oder Android 157) sollten die Korrektur enthalten, dies wurde jedoch nicht verifiziert
Umgehung
- Unbekannt. Kein vom Hersteller dokumentierter Workaround gefunden; das Aktualisieren ist die Abhilfe.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- CISA KEV: ein Drittanbieter-Tracker führt sie nicht auf; nicht gegen CISA überprüft.
- Kein öffentlicher Proof of Concept gefunden; dies beweist nicht, dass keiner existiert.
Unsere Empfehlung
- Chrome für Android via Google Play auf den aktuellen 156.x- oder 157.x-Build aktualisieren.
- Auf verwalteten Geräten eine minimale Chrome-Version per MDM erzwingen und prüfen, ob das automatische Update nicht blockiert ist.
- Geräte mit deaktivierten Updates oder veralteten Android-Versionen priorisieren und auf weitere Meldungen achten.
- Beachten, dass der CVSS-Wert 8.8 (hoch) von der Medium-Einstufung von Chromium abweicht; für Android-Benutzende die höhere Bewertung zugrunde legen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Google Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- Ubuntu security tracker CVE-2026-113233 ubuntu.com
- Vulners CVELIST record CVE-2026-113233 vulners.com
- Vulners Red Hat record CVE-2026-113233 vulners.com
- Strix CVE-2026-113233 summary www.strix.ai
- Chrome 156 stable what's new (ChromeGeek) www.chromegeek.com
- Chrome 156 security update fixes (WindowsForum) windowsforum.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 12:51.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.