Google Chrome: Speicherbeschädigung in DevTools
Zusammenfassung
Eine Speicherbeschädigung in der Komponente DevTools von Google Chrome vor 156.0.8078.47 kann von einem Angreifer aus der Ferne ausgenutzt werden. Mit einer manipulierten HTML-Seite kann ein Angreifer möglicherweise beliebigen Code innerhalb der Browser-Sandbox ausführen. Voraussetzung ist, dass ein Benutzer die präparierte Seite besucht, und es wurde keine Ausnutzung gemeldet.
Betroffen
- Google Chrome Desktop vor 156.0.8078.47
Behoben in
- Google Chrome 156.0.8078.47 oder neuer. Neuere Builds von Chrome 156 sind ebenfalls verfügbar.
Umgehung
Unbekannt. Die automatische Aktualisierung von Chrome aktiviert lassen und nicht per Richtlinie blockieren.
Ausnutzung
- Es wurden keine Hinweise auf eine Ausnutzung in der Praxis gefunden. Der CISA-KEV-Status laut einem Aggregator lautet 'No', was nicht direkt geprüft wurde.
- Es wurde kein öffentlicher Proof of Concept gefunden. Chromium stuft den Schweregrad als Low ein.
Unsere Empfehlung
- Prüfen, ob alle Chrome-, Edge- und anderen Chromium-basierten Browser mindestens 156.0.8078.47 einsetzen, idealerweise den neuesten 156-Build.
- Prüfen, ob die automatischen Updates funktionieren und nicht per Richtlinie blockiert sind.
- CISA KEV und die Chromium-Fehlerseite auf Änderungen beim Status überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- NVD entry via Vulners vulners.com
- Strix CVE summary www.strix.ai
- Ubuntu security tracker ubuntu.com
- HKCERT security bulletin on Microsoft Edge www.hkcert.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 12:31.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.