Google Chrome: Use-after-free in ServiceWorker
Zusammenfassung
Google Chrome Versionen vor 156.0.8078.47 enthalten einen Use-after-free-Fehler (CWE-416) in ServiceWorker. Ein entfernter Angreifer kann einen Benutzer dazu bringen, eine präparierte HTML-Seite zu öffnen, und so beliebigen Code innerhalb der Sandbox des Browsers ausführen. Laut Beschreibung ist dafür nur das Laden der Seite nötig, der CVSS-Vektor verlangt jedoch eine Benutzerinteraktion (UI:R).
Betroffen
- Google Chrome vor 156.0.8078.47 (Desktop)
- Downstream-Chromium-basierte Browser, zum Beispiel Microsoft Edge, können betroffen sein, bis sie den Fix übernehmen
Behoben in
- Google Chrome 156.0.8078.47 oder neuer (Mindestversion laut CVE-Eintrag)
- Neuere stabile Versionen sind verfügbar; die neueste stabile Version installieren
- Unbekannt: Ob das Herstellerupdate diese CVE explizit aufführt
Umgehung
- Unbekannt. Keine vom Hersteller dokumentierte Workaround-Massnahme. Das Einspielen des Updates ist die Abhilfe.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn in der Recherche gefunden (CISA-KEV-Status nicht direkt geprüft).
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Google Chrome auf allen Arbeitsplätzen jetzt auf die neueste stabile Version aktualisieren, nicht nur auf 156.0.8078.47.
- Automatische Updates oder eine zentrale Browser-Richtlinie verwenden und die installierte Version überprüfen.
- Systeme priorisieren, die unbekannte Websites besuchen oder sensible Daten verarbeiten.
- Weitere eingesetzte Chromium-basierte Browser (zum Beispiel Microsoft Edge) prüfen und ebenfalls aktualisieren.
- Herstellerhinweise auf weitere Korrekturen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- Vulners CVE record vulners.com
- Strix CVE summary www.strix.ai
- HKCERT security bulletin (Microsoft Edge) www.hkcert.org
- Ubuntu security tracker ubuntu.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 12:02.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.