Google Chrome: Codeausführung ausserhalb der Sandbox über ANGLE unter Windows
Zusammenfassung
Eine unzureichende Eingabevalidierung in ANGLE, der Grafikkomponente von Google Chrome unter Windows, betrifft Chrome-Versionen vor 156.0.8078.47. Ein entfernter Angreifer kann eine präparierte HTML-Seite erstellen, mit der sich möglicherweise beliebiger Code ausserhalb der Browser-Sandbox ausführen lässt. Der Angriff setzt voraus, dass ein Opfer die manipulierte Seite öffnet, etwa über einen Phishing-Link, eine Werbung oder eine kompromittierte Website.
Betroffen
- Google Chrome unter Windows vor 156.0.8078.47
- Auf Chromium basierender Microsoft Edge wird vom selben Chromium-Problem betroffen aufgeführt; die korrigierten Edge-Versionen sind unbekannt.
- Mac- und Linux-Versionen sind gemäss CVE-Beschreibung von dieser CVE nicht betroffen.
Behoben in
- Google Chrome 156.0.8078.47 oder neuer für Windows (Herstellertabelle nicht vollständig abgerufen; einige Windows-Versionen zeigen möglicherweise 156.0.8078.48)
- Neuere Chrome-156-Versionen enthalten ebenfalls die Korrektur.
Umgehung
- Keine bekannte Workaround-Lösung des Herstellers. Das Aktualisieren von Chrome ist die Massnahme.
Ausnutzung
- CISA KEV: nicht aufgeführt (gemäss Drittanbieter-Tracker).
- Ausnutzung in freier Wildbahn: keine Hinweise gefunden; der Text von Google wurde nicht vollständig abgerufen.
- Öffentlicher Proof of Concept: keiner gefunden.
- EPSS: unbekannt.
Unsere Empfehlung
- Chrome auf allen Windows-Systemen auf die neueste stabile Version aktualisieren, nicht nur auf 156.0.8078.47.
- Browser nach dem Update neu starten, da ausstehende Updates erst nach dem Neustart aktiv sind.
- Installierte Versionen zentral prüfen, besonders auf Büro-PCs, wo Updates oft verzögert werden.
- Auf Chromium basierenden Edge gemäss MSRC-Hinweisen aktualisieren.
- Benutzer für Vorsicht bei unbekannten Links und Webseiten sensibilisieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- Microsoft MSRC entry via Vulners vulners.com
- CVE entry via Vulners vulners.com
- Strix CVE page www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 22:27.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.