Google Chrome: Speicherkorruption in Autofill unter macOS
Zusammenfassung
Speicherkorruption in der Autofill-Funktion von Google Chrome für macOS vor 156.0.8078.47 erlaubt einem entfernten Angreifer, potenziell beliebigen Code innerhalb der Sandbox auszuführen. Der Angreifer muss einen Benutzer dazu bringen, eine präparierte HTML-Seite aufzurufen; eine Authentifizierung ist nicht nötig. Laut CVE-Beschreibung handelt es sich um eine Codeausführung innerhalb der Sandbox, nicht um eine vollständige Systemkompromittierung. Der CVE-Eintrag nennt CVSS 3.1 8.8 (hoch), während der Hersteller die Schwere als niedrig einstuft.
Betroffen
- Google Chrome Desktop für macOS vor 156.0.8078.47 (gemäss CVE-Eintrag)
- Microsoft Edge unter macOS, da Chromium-basiert, bis der Chromium-Fix enthalten ist (vom Hersteller nicht bestätigt)
Behoben in
- Google Chrome 156.0.8078.47 (gemäss CVE-Eintrag)
- Neueste stabile Chrome-Version (empfohlen, da neuere Builds existieren)
Umgehung
Unbekannt. Es ist kein Workaround des Herstellers dokumentiert; das Aktualisieren ist die einzige dokumentierte Behebung.
Ausnutzung
- Zum Zeitpunkt der Herstellerveröffentlichung ist keine Ausnutzung bekannt.
- CISA-SSVC-Einschätzung: Exploitation none, Automatable no, Technical Impact total.
- Es wurde kein öffentlicher Proof of Concept gefunden.
- Der EPSS-Wert ist niedrig (0.00443).
Unsere Empfehlung
- Google Chrome und Microsoft Edge auf allen Macs auf die neueste stabile Version aktualisieren.
- Prüfen, ob die automatischen Updates des stabilen Kanals auf allen verwalteten Macs ausgeführt wurden.
- Macs mit Chromium-basierten Browsern inventarisieren und deren Versionen prüfen.
- Herstellermeldungen für weitere Chrome-Updates beobachten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry (not accessible for review) issues.chromium.org
- Vulners CVE record CVE-2026-113312 vulners.com
- VulDB entry CVE-2026-113312 vuldb.com
- Patch Observer: Chrome 156 stable release patchobserver.com
- Windows Forum: Chrome 156 security update windowsforum.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 12:02.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.