Google Chrome: Speicherbeschädigung in DevTools ermöglicht Codeausführung in Sandbox
Zusammenfassung
Eine Speicherbeschädigung in der DevTools-Komponente von Google Chrome vor 156.0.8078.47 kann von einem entfernten Angreifer ausgenutzt werden. Wird eine präparierte HTML-Seite geöffnet, kann beliebiger Code innerhalb der Browser-Sandbox ausgeführt werden. Google stuft das Problem in der eigenen Skala als Low ein, der CVSS-Wert gemäss NVD beträgt 8.8 (High).
Betroffen
- Google Chrome vor 156.0.8078.47 (Windows, Mac, Linux)
- Chromium-basierte Browser, die den betroffenen Chromium-Code verwenden (die Herstellerhinweise zu deren eigenen Build-Nummern sind zu prüfen)
Behoben in
- Google Chrome 156.0.8078.47 oder neuer (im CVE-Text als minimale Korrektur genannt; empfohlen wird der neueste stabile Build)
Umgehung
- Es ist kein Workaround des Herstellers bekannt. Chrome auf eine korrigierte Version aktualisieren.
Ausnutzung
- Ausnutzung in freier Wildbahn: Unbekannt. In den Recherchenotizen wurden keine Hinweise gefunden; der CISA-KEV-Status wurde nicht geprüft.
- Öffentlicher Proof of Concept: Keiner gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Google Chrome auf allen Endgeräten auf den neuesten stabilen 156.x-Build aktualisieren und sicherstellen, dass der Browser nach dem Update neu gestartet wurde.
- Prüfen, ob Chromium-basierte Browser wie Microsoft Edge ebenfalls auf die korrigierten Versionen aktualisiert sind.
- Geräte mit älteren Versionen erfassen und aktualisieren.
- Zugriff auf DevTools wo möglich per Unternehmensrichtlinie einschränken, als allgemeine Härtungsmassnahme.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker 532985249 issues.chromium.org
- Ubuntu security: CVE-2026-113245 ubuntu.com
- Vulners CVE record CVE-2026-113245 vulners.com
- HKCERT: Microsoft Edge multiple vulnerabilities www.hkcert.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 12:36.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.