Google Chrome für Android: Speicherkorruption in Passwords
Zusammenfassung
Eine Speicherkorruption in der Komponente Passwords von Google Chrome für Android vor 156.0.8078.47 erlaubt einem entfernten Angreifer, potenziell beliebigen Code innerhalb der Browser-Sandbox auszuführen. Der Angriff erfordert, dass ein Benutzer eine präparierte HTML-Seite öffnet. Der CVSS-Wert 8.8 und der NVD-Status konnten nicht verifiziert werden, und das referenzierte Chromium-Issue beschreibt einen anderen Fehler (eine Umgehung der erneuten Authentifizierung), daher ist die genaue Art der Schwachstelle nicht bestätigt.
Betroffen
- Google Chrome für Android vor 156.0.8078.47
Unbekannt: ob die Android-Version gleich betroffen ist wie die Desktop-Versionen.
Behoben in
- Google Chrome für Android 156.0.8078.47 (minimal korrigierte Version)
- Spätere Versionen können existieren (ein Nessus-Plugin nennt 156.0.8078.79); dies ist für Android nicht bestätigt.
Umgehung
Unbekannt. In den Quellen wurde kein Workaround gefunden. Die Korrektur ist das Update.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden; der Status im CISA-KEV-Katalog ist nicht verifiziert.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Google Chrome für Android auf die neueste über Google Play verfügbare Version aktualisieren und sicherstellen, dass die automatische Aktualisierung aktiviert ist.
- Über MDM oder verwaltete Gerätrichtlinien Browser-Updates auf Firmenhandys und -tablets erzwingen.
- BYOD-Geräte prüfen, die auf die Firmen-E-Mail oder Cloud-Anwendungen zugreifen.
- CVSS-Wert sowie das Chromium-Issue auf NVD und im upstream Bug-Tracker überprüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue 517809727 issues.chromium.org
- VulDB entry 424354 vuldb.com
- Vulners CVE record vulners.com
- Trustloud Chrome security update October 2026 trustloud.com
- Vulners Nessus plugin Google Chrome 156.0.8078.79 vulners.com
- Strix CVE page CVE-2026-113276 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 12:23.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.