Google Chrome: Use after free in Canvas ermöglicht Codeausführung in Sandbox

Zusammenfassung

Eine Use-after-free-Schwachstelle (CWE-416) in der Canvas-Komponente von Google Chrome vor 156.0.8078.47 erlaubt einem entfernten Angreifer, Code innerhalb der Browser-Sandbox auszuführen. Der Angreifer benötigt dafür, dass das Opfer eine präparierte HTML-Seite öffnet; Berechtigungen sind nicht erforderlich. Der CVSS-Scope ist unverändert, weshalb die Schwachstelle allein in der Sandbox verbleibt; für eine vollständige Kompromittierung des Systems wäre eine weitere Sandbox-Flucht nötig.

Betroffen

• Google Chrome Versionen vor 156.0.8078.47
• Auf Chromium basierende Browser, die die betroffene Chromium-Codebasis verwenden: Status je nach Hersteller unterschiedlich (siehe Microsoft Edge und Hinweise zu Distributionen in den Quellen)

Behoben in

• Google Chrome 156.0.8078.47 für Linux und Android (gemäss Sekundärberichten)
• Google Chrome 156.0.8078.47 oder 156.0.8078.48 für Windows und macOS (gemäss Sekundärberichten)
• Microsoft Edge 156.0.4314.42 oder neuer (gemäss HKCERT-Bulletin; mit Microsoft zu bestätigen)
• Linux-Distributionen: Debian hat DSA 6577-1 und DLA 4853-1 für Chromium veröffentlicht; behobene Builds für weitere Distributionen und Forks: Unbekannt.

Umgehung

• Kein Workaround des Herstellers bekannt. Die Behebung erfolgt durch das Browser-Update.
• Übergangsmassnahmen: Nutzung auf aktualisierte Browser beschränken, automatische Updates erzwingen und Browser-Verwaltungsrichtlinien einsetzen. Diese reduzieren die Exposition, beheben die Schwachstelle aber nicht.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn zum Zeitpunkt der Erfassung gefunden.
• Gemäss einer Drittquelle nicht im CISA KEV aufgeführt (bei CISA prüfen).
• Kein öffentlicher Proof of Concept gefunden.
• EPSS etwa 0,39 % (Wahrscheinlichkeit einer Ausnutzung innerhalb von 30 Tagen).
• CISA SSVC: Automatisierbar: nein; technische Auswirkung: total.

Unsere Empfehlung

• Die Chrome-Version auf allen Endgeräten prüfen und auf 156.0.8078.47 oder neuer aktualisieren (auf Windows und macOS 156.0.8078.48 oder neuer).
• Browser nach dem Update neu starten, da ein laufender Browser die alte Version beibehält.
• Edge und Linux-Chromium-Pakete aktualisieren, einschliesslich des Chromium-Snaps unter Ubuntu.
• Arbeitsstationen für Webanwendungen und unbekanntes Surfen priorisieren.
• Das Chrome-Releases-Advisory und den Chromium-Fehler prüfen, sobald zugänglich.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
• Chromium issue 553117109 issues.chromium.org
• Ubuntu CVE-2026-113253 ubuntu.com
• Vulners CVE-2026-113253 vulners.com
• HKCERT Microsoft Edge security bulletin www.hkcert.org
• Chrome 156 security update (CybersecurityNews) cybersecuritynews.com
• Chrome 156 stable security notice (TechGeeks) www.techgeeks.org
• Strix CVE-2026-113253 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 12:41.