Google Chrome für iOS: Unzureichende Eingabevalidierung ermöglicht Code-Ausführung in der Sandbox
Zusammenfassung
Eine unzureichende Eingabevalidierung in der Mobile-Komponente von Google Chrome für iOS (vor 156.0.8078.47) kann von einem Angreifer über eine präparierte HTML-Seite ausgenutzt werden. Gemäss NVD-Eintrag könnte ein Angreifer dadurch potenziell beliebigen Code innerhalb der Sandbox ausführen. Der Angriff setzt voraus, dass ein Benutzer die manipulierte Seite besucht, zum Beispiel über einen Link in E-Mail, Chat oder Werbung, und erfordert keine vorgängige Authentifizierung.
Betroffen
- Google Chrome für iOS vor 156.0.8078.47 (gemäss Beschreibung der CNA)
- Chrome auf Windows, macOS, Linux, Android und ChromeOS ist von dieser CVE nicht betroffen
Behoben in
- Behoben in Google Chrome für iOS 156.0.8078.47 (gemäss Schwellenwert der CNA)
- Die genaue iOS-Build-Nummer wurde im Herstellerbeitrag nicht verifiziert; eine Sekundärquelle nennt 156.0.8078.54
Umgehung
Keine bekannte Umgehungslösung. Chrome auf eine behobene Version aktualisieren.
Ausnutzung
- Der Schweregrad laut Chromium ist Medium.
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; die CISA-SSVC-Bewertung lautet Exploitation: none.
- Kein öffentlicher Proof of Concept gefunden.
- Der CVSS-3.1-Wert laut NVD ist 8.8; andere Quellen nennen tiefere Werte (VulDB 6.3, Vulners 5.9).
Unsere Empfehlung
- Chrome auf allen iPhones und iPads auf 156.0.8078.47 oder neuer aktualisieren, über den App Store oder MDM.
- Geräte mit Zugriff auf Firmendaten sowie BYOD-Geräte mit Chrome priorisieren.
- Wo möglich, die Nutzung nicht verwalteter Browser auf Firmengeräten einschränken und Mitarbeitende für Phishing-Links sensibilisieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- NVD record (mirror) vulners.com
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- Chrome Releases: Chrome Stable for iOS update chromereleases.googleblog.com
- VulDB entry vuldb.com
- Ubuntu security notice ubuntu.com
- Strix CVE entry www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 12:38.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.