Google Chrome: Speicherbeschädigung im DOM ermöglicht Codeausführung in Sandbox
Zusammenfassung
Eine Speicherbeschädigung im DOM-Bereich von Google Chrome vor 156.0.8078.47 kann durch eine präparierte HTML-Seite ausgelöst werden. Ein entfernter Angreifer kann damit potenziell beliebigen Code innerhalb der Sandbox des Browsers ausführen. Das Opfer muss die manipulierte Seite aufrufen. Die NVD bewertet die Schwachstelle mit 8.8 (hoch), Chromium intern mit Mittel.
Betroffen
- Chrome unter Linux vor 156.0.8078.47
- Chrome unter Windows und macOS vor 156.0.8078.47/.48
- Android-Chrome-Builds vor 156.0.8078.47
- Hinweis: Der Versionsbereich im CVE-Eintrag ist fehlerhaft; massgebend sind die oben genannten Herstellerversionen.
- iOS liegt ausserhalb des Geltungsbereichs dieser CVE.
Behoben in
- Linux: 156.0.8078.47
- Windows und macOS: 156.0.8078.47/.48
- Android: 156.0.8078.47
Umgehung
Unbekannt. Das Aktualisieren wird als Massnahme empfohlen. Den Browser nach dem Update neu starten, da die Korrektur erst in einem neuen Browserprozess wirksam wird.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden; ein Drittanbieter-Tracker führt die CVE nicht im CISA KEV (nicht gegen den CISA-Katalog geprüft).
- Es wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Chrome-Versionen auf Windows, macOS, Linux und Android inventarisieren.
- Prüfen, dass alle Endgeräte 156.0.8078.47 oder neuer einsetzen (156.0.8078.47/.48 unter Windows und macOS) und die Browser nach dem Update neu gestartet wurden.
- Updates zentral über verwaltete Update-Richtlinien durchsetzen.
- Chromium-basierte Browser wie Microsoft Edge auf aktuellem Stand halten.
- Chromium-Fehlerseite und CISA KEV auf Änderungen des Ausnutzungsstatus prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- HKCERT security bulletin: Google Chrome multiple vulnerabilities www.hkcert.org
- Vulners CVE listing (CVELIST) vulners.com
- Vulners NVD record vulners.com
- Ubuntu CVE tracker ubuntu.com
- TechGeeks security notice: Chrome 156 stable www.techgeeks.org
- WindowsForum: Chrome 156 security update windowsforum.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 12:45.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.