Google Chrome: Speicherbeschädigung in XML-Verarbeitung erlaubt Codeausführung in Sandbox
Zusammenfassung
Google Chrome Versionen vor 156.0.8078.47 enthalten eine Speicherbeschädigung in der XML-Verarbeitung (CWE-119). Ein entfernter Angreifer kann eine präparierte HTML-Seite erstellen, mit der sich möglicherweise beliebiger Code innerhalb der Browser-Sandbox ausführen lässt. Das Opfer muss die schädliche Seite öffnen, zum Beispiel über einen Phishing-Link oder eine schädliche Werbung; eine Anmeldung ist nicht erforderlich.
Betroffen
- Google Chrome vor 156.0.8078.47 (Desktop, Windows, Mac und Linux)
- Chromium-basierte Browser ohne den Fix (z. B. Microsoft Edge) müssen separat geprüft werden
Behoben in
- Google Chrome 156.0.8078.47 oder neuer; installieren Sie den neuesten stabilen Build von Chrome 156 oder neuer
- Die CVE-spezifische Zuordnung der Fixes im Herstellerhinweis konnte nicht verifiziert werden
Umgehung
- Keine Workaround dokumentiert. Das Aktualisieren von Chrome ist die einzige wirksame Massnahme.
Ausnutzung
- Zum Zeitpunkt der Erstellung ist keine Ausnutzung in freier Wildbahn bekannt.
- Status im CISA-KEV-Katalog: nicht verifiziert.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Aktualisieren Sie Google Chrome auf Version 156.0.8078.47 oder neuer auf allen Arbeitsstationen, idealerweise auf den neuesten stabilen Build.
- Starten Sie Chrome nach dem Update neu, damit die korrigierte Version aktiv wird.
- Prüfen Sie die Version über Menü > Hilfe > Über Google Chrome oder über Ihr Verwaltungswerkzeug.
- Aktualisieren Sie andere Chromium-basierte Browser separat.
- Priorisieren Sie dieses Update, da Chrome weit verbreitet ist und der Angriff nur den Besuch einer schädlichen Seite erfordert.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- NVD record via Vulners vulners.com
- Microsoft CVE entry via Vulners vulners.com
- Ubuntu CVE tracker ubuntu.com
- Chrome 156 stable update overview (browserhow) browserhow.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 12:15.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.