Google Chrome: Unzureichende Eingabevalidierung in der UI ermöglicht Code-Ausführung im Sandbox
Zusammenfassung
Google Chrome vor 156.0.8078.47 enthält eine unzureichende Eingabevalidierung in der UI-Komponente. Ein entfernter Angreifer kann über eine präparierte HTML-Seite möglicherweise beliebigen Code innerhalb der Browser-Sandbox ausführen. Der Angriff setzt voraus, dass ein Benutzer die manipulierte Seite öffnet, zum Beispiel über einen Phishing-Link. Google stuft das Problem als niedrig ein, während NVD es mit 8.8 bewertet.
Betroffen
- Google Chrome-Versionen vor 156.0.8078.47 (Windows, macOS und Linux)
- Chromium-basierte Browser und Linux-Pakete richten sich nach den Korrekturversionen ihres jeweiligen Herstellers
- Ubuntu: Das Paket chromium-browser ist ein Skript, das den Chromium-Snap installiert, der separat aktualisiert werden muss
Behoben in
- Google Chrome 156.0.8078.47 oder neuer (Stable-Channel-Update vom 20. Oktober 2026)
- Neuere Stable-Builds sind verfügbar; den aktuellen Stable-Build einsetzen
- Debian: DSA 6577-1 und DLA 4853-1 für Chromium
Umgehung
- Kein Workaround des Herstellers bekannt. Das Aktualisieren von Chrome ist die Massnahme.
Ausnutzung
- Ausnutzung in freier Wildbahn: Unbekannt. Zum Zeitpunkt der Erstellung nicht im CISA-KEV-Katalog verifiziert.
- Öffentlicher Proof of Concept: keiner gefunden.
- Google-/Chromium-Schweregrad: Niedrig. CVSS-3.1-Basiswert 8.8 (AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H).
- EPSS: 0.00452 (geringe prognostizierte Ausnutzungswahrscheinlichkeit).
Unsere Empfehlung
- Prüfen, ob alle Chrome-, Edge- und Chromium-Installationen inklusive Linux-Snaps und -Pakete den aktuellen Stable-Build verwenden.
- Bei Endgeräten mit ausstehendem Update einen Neustart des Browsers erzwingen, da Chrome heruntergeladene Updates erst nach einem Neustart anwendet.
- Vor dem Schliessen des Tickets den CISA-KEV-Katalog und den Chromium-Bug-Tracker erneut prüfen.
- Die Priorität erhöhen, falls die Schwachstelle als ausgenutzt gelistet wird.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- Ubuntu security: CVE-2026-113244 ubuntu.com
- Vulners: NVD record CVE-2026-113244 vulners.com
- Vulners: MSCVE MS:CVE-2026-113244 (Debian, EPSS) vulners.com
- Vulners: CVELIST CVE-2026-113244 (Chromium severity) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 12:45.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.