Google Chrome: Unzureichende Eingabevalidierung in PerformanceAPIs
Zusammenfassung
Google Chrome vor 156.0.8078.47 enthält eine unzureichende Eingabevalidierung in PerformanceAPIs. Gemäss CVE-Eintrag kann ein Angreifer über eine präparierte HTML-Seite möglicherweise beliebigen Code innerhalb der Browser-Sandbox ausführen. Das Opfer muss die manipulierte Seite aufrufen, daher bestehen das Risiko durch Drive-by-Browsing und bösartige Links. Der Eintrag im Chromium-Bugtracker beschreibt jedoch ein anderes Problem (eine Informationsoffenlegung), weshalb die tatsächliche Auswirkung unsicher ist.
Betroffen
- Google Chrome vor 156.0.8078.47 (CVE-Eintrag)
- Microsoft Edge vor 156.0.4314.42 (HKCERT)
- Auf Chromium basierende Browser und Linux-Distributionspakete können betroffen sein; der Status pro Release variiert
- Android-Chrome: wahrscheinlich betroffen, nicht verifiziert
Behoben in
- Google Chrome 156.0.8078.47 oder neuer (Linux)
- Google Chrome 156.0.8078.47/.48 oder neuer (Windows und macOS, gemäss Sekundärquellen)
- Microsoft Edge 156.0.4314.42 oder neuer
- Herstellerhinweis nicht direkt geöffnet; Versionsangaben stammen aus Sekundärberichten
Umgehung
- Keine Workaround-Massnahme dokumentiert. Browser aktualisieren.
- Browser nach dem Update neu starten, da der alte Prozess möglicherweise noch läuft.
Ausnutzung
- In freier Wildbahn: keine bekannte Ausnutzung (Aussage auf Release-Ebene, nicht CVE-spezifisch)
- CISA KEV: laut einem Aggregator nicht gelistet; im KEV-Katalog prüfen
- Öffentlicher Proof of Concept: keiner gefunden
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total
Unsere Empfehlung
- Google Chrome auf 156.0.8078.47 oder neuer und Microsoft Edge auf 156.0.4314.42 oder neuer auf allen Desktops aktualisieren.
- Browser nach dem Update neu starten.
- Chromium-Snap auf Ubuntu aktualisieren und Linux-Distributionspakete prüfen.
- Prüfen, ob das Chrome-156-Release mit 353 Korrekturen unternehmensweit ausgerollt ist.
- Bugtracker von Google auf Klärung der Auswirkung beobachten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker 511311494 issues.chromium.org
- NVD record via Vulners vulners.com
- HKCERT security bulletin (Microsoft Edge) www.hkcert.org
- Ubuntu CVE tracker ubuntu.com
- VulDB entry vuldb.com
- Cybersecurity News: Chrome 156 security update cybersecuritynews.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 12:18.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.