Google Chrome: Speicherfehler in Chromoting ermöglicht Ausführung in Sandbox

Zusammenfassung

Ein Speicherfehler (CWE-119) in der Komponente Chromoting von Google Chrome vor 156.0.8078.47 kann durch eine präparierte HTML-Seite ausgelöst werden. Ein entfernter Angreifer könnte dadurch möglicherweise beliebigen Code innerhalb der Browser-Sandbox ausführen. Der Angriff erfordert, dass ein Benutzer die bösartige Seite öffnet, eine Authentifizierung ist nicht nötig. Eine vollständige Kompromittierung des Systems würde in der Regel eine zweite Schwachstelle zum Verlassen der Sandbox erfordern.

Betroffen

• Google Chrome (Desktop) vor 156.0.8078.47, gemäss Beschreibung des CVE
• Der offizielle CVE-Eintrag nennt den Bereich 156.0.8078.47 bis < 156.0.8078.47, was der Beschreibung widerspricht. Welcher Bereich korrekt ist, ist unbekannt.
• Microsoft Edge (Chromium-basiert) wird in einer separaten Meldung abgedeckt und ist hier nicht bestätigt.

Behoben in

• Linux: 156.0.8078.47 (Versionshinweise des Herstellers, von Sekundärquellen gemeldet)
• Windows und macOS: 156.0.8078.47/.48 (von Sekundärquellen gemeldet)
• Spätere stabile Version: 156.0.8078.73/.74 für Windows und macOS, 156.0.8078.73 für Linux (Malwarebytes)

Umgehung

• Keine nötig, sofern ein Update möglich ist.
• Browser nach dem Update neu starten, damit die Korrektur wirksam wird.
• Falls Chrome Remote Desktop nicht genutzt wird, kann die Entfernung in Betracht gezogen werden, um die Angriffsfläche zu verkleinern (eigene Empfehlung, nicht aus einer Quelle).

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn. Strix führt das CVE nicht im KEV-Katalog der CISA.
• Kein öffentlicher Proof of Concept gefunden. Der Eintrag im Chromium-Issue-Tracker war nicht zugänglich, eingeschränkte Details können daher nicht ausgeschlossen werden.
• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Chrome auf allen Desktop-Systemen auf die neueste stabile Version aktualisieren, nicht nur auf 156.0.8078.47.
• Installierte Version auf den Endgeräten prüfen und Browser neu starten, die seit dem Update nicht neu gestartet wurden.
• Updates wo möglich zentral verteilen und Edge sowie Linux-Chromium-Pakete separat prüfen.
• Priorität: mittel bis hoch für Browser-Flotten, da Phishing und bösartige Links der wahrscheinliche Verbreitungsweg sind.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
• Chromium issue tracker entry issues.chromium.org
• Strix: CVE-2026-113258 www.strix.ai
• VulDB: vuln 424515 vuldb.com
• Malwarebytes: Chrome and Firefox updates fix serious security flaws www.malwarebytes.com
• GBHackers: Google Chrome 156 fixes 353 security vulnerabilities gbhackers.com
• Cybersecurity News: Chrome security update fixing 353 flaws cybersecuritynews.com
• HKCERT: Microsoft Edge multiple vulnerabilities www.hkcert.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 12:34.