Google Chrome: Use-after-free in WebAppInstalls ermöglicht Codeausführung

Zusammenfassung

Google-Chrome-Desktopversionen vor 156.0.8078.47 enthalten einen Use-after-free-Fehler in der Komponente WebAppInstalls, die für die Installation von Progressive Web Apps zuständig ist. Ein entfernter Angreifer kann über eine präparierte HTML-Seite möglicherweise beliebigen Code ausserhalb der Browser-Sandbox ausführen. Die Ausnutzung erfordert eine Benutzerinteraktion, etwa das Öffnen der Seite, jedoch keine Authentifizierung. Die NVD bewertet die Lücke mit CVSS 9.6 (kritisch), Google stuft sie als Medium ein.

Betroffen

• Google-Chrome-Desktopversionen vor 156.0.8078.47 (Linux)
• Google Chrome unter Windows und macOS vor 156.0.8078.48 (laut Drittquelle; beim Hersteller bestätigen)
• Chromium-basierte Browser wie Microsoft Edge (Behebung: 156.0.4314.42 oder neuer)
• Der Versionsbereich im offiziellen CVE-Eintrag ist widersprüchlich (156.0.8078.47 bis < 156.0.8078.47); beim Hersteller prüfen
• Linux-Distributionen: Status unklar (Debian DSA 6577-1 widerspricht OSV 'No fix available'; Ubuntu listet chromium-browser als nicht betroffen, da der Snap verwendet wird)

Behoben in

• Google Chrome 156.0.8078.47 oder neuer (Linux)
• Google Chrome 156.0.8078.48 oder neuer (Windows, macOS; in der Herstellermeldung prüfen)
• Microsoft Edge 156.0.4314.42 oder neuer
• Debian: Unbekannt, bis der Debian-Tracker geprüft ist

Umgehung

• Für nicht aktualisierte Chrome-Versionen ist kein Workaround des Herstellers bekannt.
• Das Aktualisieren ist die einzige bestätigte Massnahme.

Ausnutzung

• In den geprüften Quellen wurde keine Ausnutzung in freier Wildbahn gemeldet.
• Ein GitHub-Schwachstellen-Tracker führt die Lücke nicht im CISA-KEV-Katalog; dies wurde nicht am Katalog überprüft.
• Es wurde kein öffentlicher Proof of Concept gefunden.
• Das verlinkte Chromium-Issue beschreibt eine andere Fehlerart (Registrierung von Protokoll-Handlern), daher ist die genaue Art des Fehlers unbekannt.

Unsere Empfehlung

• Chrome-, Edge- und Chromium-Installationen inventarisieren, einschliesslich Linux-Snap- und Debian-Pakete, und die Versionen prüfen.
• Auf die korrigierten Versionen aktualisieren und den Browser vollständig neu starten, da eine ausstehende Update-Meldung den alten Prozess belassen kann.
• Den Status bei den Linux-Distributionen über deren Security-Tracker prüfen.
• CISA KEV und den Chromium-Bug-Tracker auf Änderungen überwachen.
• Das vollständige Chrome-156-Update ausrollen, das viele weitere Sicherheitskorrekturen enthält.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
• Chromium issue 515440087 issues.chromium.org
• NVD record via Vulners vulners.com
• HKCERT: Microsoft Edge multiple vulnerabilities www.hkcert.org
• Ubuntu CVE tracker ubuntu.com
• OSV Debian listing osv.dev
• GitHub CVE tracker entry github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 22:26.