Google Chrome: Speicherbeschädigung in Google Lens
Zusammenfassung
Eine Speicherbeschädigung in der Funktion Google Lens von Google Chrome erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Sandbox des Browsers auszuführen. Der Angriff erfordert, dass das Opfer eine präparierte HTML-Seite öffnet. Die NVD bewertet den CVSS-3.1-Basiswert mit 8.8, während Chromium den Schweregrad als niedrig einstuft.
Betroffen
- Google Chrome vor 156.0.8078.47 (gemäss CVE-Beschreibung)
- HKCERT nennt Linux vor 156.0.8078.47 sowie Windows und Mac vor 156.0.8078.47/.48
Behoben in
- Google Chrome 156.0.8078.47 für Linux
- Google Chrome 156.0.8078.47/.48 für Windows und Mac
- Neuere Stable-Versionen sind verfügbar; es sollte die neueste Stable-Version eingesetzt werden (Enthaltensein dieser Korrektur nicht unabhängig geprüft)
Umgehung
Keine vom Hersteller dokumentierte Umgehungsmassnahme. Unbekannt, ob das Deaktivieren von Google Lens die Exposition verringert.
Ausnutzung
- Keine Ausnutzung in freier Wildbahn bekannt.
- Kein öffentlicher Proof of Concept gefunden.
- Gemäss einer Drittquelle nicht im CISA-KEV-Katalog aufgeführt (nicht direkt überprüft).
Unsere Empfehlung
- Alle Chrome-Installationen auf mindestens 156.0.8078.47 aktualisieren, vorzugsweise auf die neueste Stable-Version.
- Sicherstellen, dass die Browser nach dem Update neu gestartet wurden.
- Die gesamte Chrome-156-Version patchen, da weitere Korrekturen zur Speicherbeschädigung enthalten sind.
- Auf Debian-basierten Systemen die Chromium-Updates (DSA 6577-1, DLA 4853-1) einspielen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- NVD record via Vulners vulners.com
- HKCERT security bulletin www.hkcert.org
- Debian advisories via Vulners vulners.com
- Strix CVE summary www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 12:16.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.