Google Chrome: Use-after-free in Core-Komponente ermöglicht Codeausführung in Sandbox

Zusammenfassung

Ein Use-after-free-Speicherfehler in der Core-Komponente von Google Chrome ermöglicht einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Der Angreifer muss lediglich einen Benutzer dazu bringen, eine präparierte HTML-Seite aufzurufen; eine Authentifizierung ist nicht nötig, eine Benutzerinteraktion schon. Für eine vollständige Kompromittierung ist in der Regel zusätzlich ein Sandbox-Escape nötig, und der verlinkte Chromium-Fehler passt nicht zur Beschreibung, weshalb der genaue Umfang noch überprüft wird.

Betroffen

• Google Chrome vor 156.0.8078.47 (gemäss Beschreibung der CNA)
• VulDB gibt den betroffenen Bereich mit bis und inklusive 155.0.8059.84 an
• Der offizielle CNA-Eintrag enthält einen widersprüchlichen Bereich (156.0.8078.47 bis < 156.0.8078.47); bitte mit der Chrome-Mitteilung und der NVD abgleichen
• Microsoft Edge vor 156.0.4314.42 (Drittquelle HKCERT-Bulletin)

Behoben in

• Google Chrome 156.0.8078.47 oder neuer für Desktop (Linux, Windows, Mac)
• Drittquellen melden spätere Builds (156.0.8078.79 oder .80); den neuesten stabilen Build aus dem offiziellen Kanal verwenden
• Microsoft Edge 156.0.4314.42 oder neuer
• Ubuntu: Snap-Revision des Chromium-Pakets prüfen

Umgehung

Unbekannt. Es wurde keine vom Hersteller dokumentierte Massnahme gefunden. Das Einspielen des Updates ist die einzige bestätigte Behebung.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; kein Eintrag im CISA-KEV-Katalog in der Recherche identifiziert (manuelle Prüfung empfohlen)
• Kein öffentlicher Proof-of-Concept gefunden
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total
• VulDB schätzt den Exploit-Preis auf USD 5'000 bis 25'000; dies ist eine Preisschätzung und kein Beleg für eine Nutzung

Unsere Empfehlung

• Google Chrome und Microsoft Edge auf allen Desktops umgehend auf den neuesten stabilen Build aktualisieren
• Die Browserversion im gesamten Gerätebestand prüfen, nicht nur die erste behebende Version
• Automatische Browser-Updates erzwingen und die Update-Richtlinien in verwalteten Umgebungen überprüfen
• Die offiziellen Chrome-Versionshinweise und den CISA-KEV-Katalog auf Änderungen beim Ausnutzungsstatus beobachten

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
• Chromium issue tracker (linked from CVE, verify mapping) issues.chromium.org
• VulDB entry vuldb.com
• Vulners CVE record (CNA text mirror) vulners.com
• HKCERT security bulletin (Microsoft Edge) www.hkcert.org
• Ubuntu security tracker ubuntu.com
• Browserhow Chrome 156 stable update guide (third-party) browserhow.com
• Strix CVE record www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 12:01.