Google Chrome: Out-of-Bounds-Schreibzugriff in Forms ermöglicht Codeausführung ausserhalb Sandbox

Zusammenfassung

Google-Chrome-Desktopversionen vor 156.0.8078.47 enthalten einen Out-of-Bounds-Schreibzugriff in der Komponente Forms (CWE-787). Ein Angreifer könnte durch eine präparierte HTML-Seite möglicherweise beliebigen Code ausserhalb der Browser-Sandbox ausführen. NVD bewertet die Schwachstelle mit CVSS 9.6 (kritisch), während Google selbst den Schweregrad als niedrig einstuft; für den Angriff muss der Benutzer interagieren, indem er die Seite öffnet.

Betroffen

• Google-Chrome-Desktopversionen vor 156.0.8078.47 (Beschreibung des CNA)
• Der Eintrag zum betroffenen Bereich im offiziellen CVE-Datensatz ist inkonsistent ("156.0.8078.47 bis < 156.0.8078.47") und sollte gegen die Google-Meldung geprüft werden.
• Microsoft Edge (Chromium-basiert): betroffen bis zum Update; der korrigierte Edge-Build ist unbestätigt.
• Chromium-Pakete von Linux-Distributionen: abhängig von der Distribution; Debian hat DSA 6577-1 und DLA 4853-1 veröffentlicht. Ubuntu führt chromium-browser als nicht betroffen, da das Paket als Snap ausgeliefert wird.

Behoben in

• Google Chrome 156.0.8078.47 oder neuer (Linux: 156.0.8078.47; Windows und macOS: 156.0.8078.47 oder .48 laut Sekundärquellen, unbestätigt)
• Neuere Stable-Builds sind verfügbar und stellen das praktische Ziel dar.
• Microsoft Edge: 156.0.4314.42 oder neuer laut HKCERT (unbestätigt, auf MSRC prüfen).
• Debian: DSA 6577-1 und DLA 4853-1 für chromium (genaue Paketversionen unbekannt).

Umgehung

• Keine bekannte Workaround-Massnahme. Browser aktualisieren.
• Chrome kann die alte Version weiterhin ausführen, bis der Browser neu gestartet wird; Browser nach dem Update neu starten.

Ausnutzung

• CISA-SSVC-Bewertung: Exploitation none, Automatable no, Technical Impact total.
• In den geprüften Quellen wird keine Ausnutzung in freier Wildbahn gemeldet.
• Laut einer GitHub-Schwachstellenmeldung nicht im CISA-KEV-Katalog aufgeführt.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Chrome-Version auf allen Endgeräten prüfen, einschliesslich Edge und Linux-Chromium-Paketen, und auf den aktuellen Stable-Build aktualisieren.
• Sicherstellen, dass automatische Updates funktionieren und Browser nach dem Update neu gestartet wurden.
• Verwaltete Browser-Richtlinien (Chrome Enterprise, Microsoft Intune) prüfen und den Update-Status auf allen Geräten kontrollieren.
• Auf Anzeichen einer Ausnutzung achten und die Herstellermeldung auf Änderungen der Bewertung beobachten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
• Chromium issue tracker issues.chromium.org
• Vulners CVE record CVE-2026-113300 vulners.com
• Ubuntu security CVE-2026-113300 ubuntu.com
• HKCERT security bulletin: Microsoft Edge multiple vulnerabilities www.hkcert.org
• Vulners MSRC record CVE-2026-113300 vulners.com
• OffSeq radar: CVE-2026-113300 radar.offseq.com
• Strix CVE-2026-113300 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 22:24.