Google Chrome: Eingabevalidierung im Loader fehlerhaft, Codeausführung in Sandbox
Zusammenfassung
Google Chrome Versionen vor 156.0.8078.47 enthalten eine fehlerhafte Eingabevalidierung in der Komponente Loader. Ein entfernter Angreifer kann durch eine präparierte HTML-Seite möglicherweise beliebigen Code innerhalb der Browser-Sandbox ausführen. Google stuft das Problem in Chromium als Low ein, der NVD-Basiswert beträgt 8.8 und setzt eine Benutzerinteraktion voraus.
Betroffen
- Google Chrome vor 156.0.8078.47
- CVE-Eintrag und NVD nennen den betroffenen Bereich als vor 156.0.8078.47; Angaben von Drittanbietern weichen ab und sind nicht zuverlässig.
Behoben in
- Chrome 156 Stable, veröffentlicht am 20. Oktober 2026
- Linux: 156.0.8078.47
- Windows und macOS: 156.0.8078.47 oder 156.0.8078.48 (Quellen weichen ab; in der Herstellermeldung prüfen)
Umgehung
- Kein Workaround nötig, sobald Chrome auf eine korrigierte Version aktualisiert ist.
- Falls Updates verzögert werden: Browsing auf vertrauenswürdige Seiten beschränken und Browser-Richtlinien nutzen, um riskante Inhalte einzuschränken. Dies ist allgemeine Empfehlung und keine vom Hersteller dokumentierte Massnahme.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn.
- Kein öffentlicher Proof of Concept bekannt.
- Ein Drittanbieter-Tracker führt die Lücke nicht im CISA-KEV-Katalog; dies wurde nicht direkt bei CISA geprüft.
- CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
Unsere Empfehlung
- Chrome auf allen verwalteten Geräten im normalen Chrome-Rollout auf 156.0.8078.47 oder neuer aktualisieren (Windows- und macOS-Builds gemäss Herstellermeldung).
- Installierte Version prüfen und sicherstellen, dass der Browser nach dem Update neu gestartet wurde.
- Chromium-basierte Browser wie Edge separat verfolgen, da sie dieselben Chromium-Korrekturen verwenden.
- Priorität für sich allein gering bis mittel; im Rahmen des Chrome-156-Updates behandeln.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- NVD record mirror (vulners.com) vulners.com
- VulDB entry (unreliable range, for reference) vuldb.com
- Chrome 156 security update overview (cybersecuritynews.com) cybersecuritynews.com
- Chrome 156 security update overview (windowsforum.com) windowsforum.com
- Google Chrome (Wikipedia) en.wikipedia.org
- Ubuntu CVE tracker entry ubuntu.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 12:13.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.