Google Chrome: Speicherbeschädigung in CredentialProvider unter Windows
Zusammenfassung
Google Chrome unter Windows vor Version 156.0.8078.47 enthält eine Speicherbeschädigung in der Komponente CredentialProvider. Ein entfernter Angreifer kann einen Benutzer mit einer manipulierten HTML-Seite dazu bringen, möglicherweise beliebigen Code ausserhalb der Chrome-Sandbox auszuführen. Der CVSS-Wert beträgt 9.6 (kritisch), während der Chromium-Sicherheitsschweregrad als mittel eingestuft ist.
Betroffen
- Google Chrome Desktop unter Windows vor 156.0.8078.47
- Linux und andere Plattformen: nicht im CVE beschrieben; Ubuntu listet sein Paket chromium-browser als nicht betroffen
Behoben in
- Google Chrome 156.0.8078.47 oder neuer für Windows (Herstellerversion vom 20. Okt. 2026)
- Ein späterer 156.x-Build wurde am 27. Okt. 2026 veröffentlicht; genaue Version im Chrome-Releases-Blog prüfen
- Microsoft Edge: Version 156.0.4314.42 oder neuer (laut HKCERT, noch zu verifizieren)
Umgehung
Unbekannt.
Ausnutzung
- In den geprüften Quellen wurde keine Ausnutzung in freier Wildbahn gefunden
- Status im CISA-KEV-Katalog: laut einem Drittanbieter nicht gelistet; im CISA-KEV-Katalog direkt prüfen
- EPSS: Unbekannt
- Öffentlicher Proof of Concept: keiner gefunden
Unsere Empfehlung
- Prüfen, dass Chrome auf allen Windows-Endgeräten auf 156.0.8078.47 oder neuer steht, idealerweise auf dem neuesten 156.x-Build
- Prüfen, dass Microsoft Edge mindestens auf dem korrigierten Build steht
- Installationen von Google Credential Provider for Windows (GCPW) inventarisieren und aktualisieren, da der Chromium-Tracker auf GCPW verweist
- Chromium-Tracker-Eintrag 502085234 und NVD-Eintrag erneut prüfen, da der Tracker-Titel eine lokale Rechteausweitung in GCPW nennt, was vom CVE-Text abweicht
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue 502085234 issues.chromium.org
- NVD mirror (Vulners) vulners.com
- Ubuntu CVE tracker ubuntu.com
- HKCERT security bulletin (Microsoft Edge) www.hkcert.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 22:25.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.