Google Chrome: Speicherbeschädigung in WebAppInstalls ermöglicht Codeausführung
Zusammenfassung
Google Chrome vor 156.0.8078.47 enthält eine Speicherbeschädigung in der Komponente WebAppInstalls (CWE-119). Ein entfernter Angreifer kann durch eine präparierte HTML-Seite möglicherweise beliebigen Code innerhalb der Browser-Sandbox ausführen. Der Angriff erfordert eine Interaktion des Benutzers, etwa den Besuch eines bösartigen oder Phishing-Links, und keine Authentifizierung. Ob eine Flucht aus der Sandbox möglich ist, ist unbekannt.
Betroffen
- Google Chrome vor 156.0.8078.47 (gemäss NVD und CNA-Beschreibung)
- Widersprüchliche Angaben: VulDB nennt Versionen bis 155.0.8059.84; alle Versionen vor 156.0.8078.47 als betroffen behandeln
- Build-Nummern des Release vom 20. Okt. 2026 unterscheiden sich je nach Quelle; anhand der Herstellerinformation prüfen
Behoben in
- Google Chrome 156.0.8078.47 oder neuer gemäss CNA-Beschreibung; Windows/macOS-Builds des Stable Channel Update vom 20. Okt. 2026 können 156.0.8078.47 oder .48 sein (nicht verifiziert)
- Neuester Stable-Build empfohlen; ein Update vom 27. Okt. 2026 (156.0.8078.73/.74 für Windows/Mac, 156.0.8078.73 für Linux) existiert, ob dieser CVE darin enthalten ist, ist nicht bestätigt
- Ubuntu: Chromium-Pakete als nicht betroffen aufgeführt; Chromium-Snap aktualisieren
- Debian: Chromium-Updates DSA 6577-1 und DLA 4853-1 sind aufgeführt (Inhalt nicht verifiziert)
Umgehung
- Unbekannt. Ein Patch existiert, daher ist das Aktualisieren die empfohlene Massnahme.
Ausnutzung
- CISA KEV: laut einer Drittquelle nicht aufgeführt; nicht gegen den KEV-Katalog bestätigt.
- Öffentlicher Proof of Concept: keiner gefunden; unbekannt.
- Ausnutzungsbewertung (CISA SSVC): keine; nicht automatisierbar.
- Chromium-Schweregrad: Mittel. CVSS 3.1 Basisscore 8.8 (NVD); VulDB bewertet mit 6.3.
Unsere Empfehlung
- Alle Chrome-Installationen auf den neuesten Stable-Build aktualisieren und die Versionen über MDM oder die Update-Konsole prüfen.
- Benutzer priorisieren, die unvertrauenswürdige Seiten besuchen oder Chrome mit erhöhten Rechten nutzen.
- Sicherstellen, dass Browser-Updates nicht durch Erweiterungen blockiert werden oder Browser nie geschlossen werden.
- Chromium-basierte Browser (z. B. Edge, Brave) separat prüfen, da deren Korrekturstatus unbekannt ist.
- Herstellerhinweise auf Bestätigung der korrigierten Version überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- NVD via Vulners vulners.com
- VulDB entry vuldb.com
- Ubuntu security tracker ubuntu.com
- Vulners CVE list entry (Debian references) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 12:06.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.