Chrome für Android: Speicherkorruption in CustomTabs
Zusammenfassung
Google Chrome für Android vor 156.0.8078.47 enthält eine Speicherkorruption in CustomTabs, der Funktion, die Webseiten innerhalb von Drittanbieter-Apps anzeigt. Ein entfernter Angreifer kann unter Umständen beliebigen Code innerhalb der Browser-Sandbox ausführen, indem er einen Benutzer zu einer manipulierten HTML-Seite lockt. Der Angriff setzt voraus, dass der Benutzer eine solche Seite öffnet. Chromium stuft die Lücke als Schweregrad Mittel ein.
Betroffen
- Google Chrome für Android vor 156.0.8078.47
Behoben in
- Google Chrome für Android 156.0.8078.47 (gemäss CVE-Eintrag und Recherchenotizen; der Google-Advisory-Eintrag wurde nicht verifiziert)
- Neuere Android-Builds sind verfügbar. Wikipedia führt 157.0.8103.14 als Android-Stable-Version per 22. Oktober 2026 auf.
Umgehung
- Unbekannt, ob Google eine Zwischenmassnahme veröffentlicht hat.
- Das Aktualisieren von Chrome ist die Behebung. Für verwaltete Geräte eine Mindestversion von Chrome über MDM/UEM erzwingen.
Ausnutzung
- Es wurden keine Hinweise auf Ausnutzung in freier Wildbahn oder einen öffentlichen Exploit gefunden.
- Der Katalog CISA KEV wurde nicht direkt geprüft.
- VulDB führt einen ähnlichen Eintrag unter CVE-2026-113330 und gibt an, dass kein Exploit verfügbar ist. Dies könnte ein Duplikat oder ein Spiegelungsfehler sein.
Unsere Empfehlung
- Android-Geräte und Chrome-Versionen inventarisieren. Jeden Build unterhalb von 156.0.8078.47 markieren.
- Updates über den Google Play Store auf verwalteten Geräten erzwingen und den aktuellen Stable-Build anstreben.
- Den Google-Advisory-Eintrag und den NVD-Status bestätigen, bevor das Ticket geschlossen wird.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- Ubuntu Security: CVE-2026-113238 ubuntu.com
- Vulners: CVE-2026-113238 vulners.com
- Windows Forum: Chrome 156 security update windowsforum.com
- Wikipedia: Google Chrome en.wikipedia.org
- VulDB: CVE-2026-113330 (possible duplicate) vuldb.com
- Strix: CVE-2026-113238 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 12:42.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.