Google Chrome: Speicherbeschädigung in DevTools ermöglicht Code-Ausführung in Sandbox
Zusammenfassung
Google-Chrome-Desktopversionen vor 156.0.8078.47 enthalten eine Speicherbeschädigung in der Komponente DevTools. Ein entfernter Angreifer kann über eine präparierte HTML-Seite möglicherweise beliebigen Code innerhalb der Browser-Sandbox ausführen. Für den Angriff muss ein Benutzer die manipulierte Seite besuchen; Chromium stuft den Schweregrad als niedrig ein, da sich die Auswirkung auf die Sandbox beschränkt.
Betroffen
- Google Chrome Desktopversionen vor 156.0.8078.47 (Linux)
- Google Chrome Desktopversionen vor 156.0.8078.47 oder 156.0.8078.48 (Windows und macOS)
- Chromium-basierte Browser, die den betroffenen Chromium-Code übernehmen (zum Beispiel Microsoft Edge), gemäss Sekundärquellen
Behoben in
- Linux: Chrome 156.0.8078.47 oder neuer
- Windows und macOS: Chrome 156.0.8078.47 oder 156.0.8078.48 oder neuer
- Genaues Fix-Build für diese spezifische Schwachstelle: Unbekannt.
Umgehung
- Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround gefunden.
- Bis zur Aktualisierung kann die Einschränkung von DevTools über eine Enterprise-Richtlinie geprüft werden; den Richtliniennamen zuerst in der Chrome-Enterprise-Dokumentation von Google verifizieren.
Ausnutzung
- CISA KEV: nicht gelistet (laut Drittanbieter-Tracker).
- Öffentlicher Proof of Concept: keiner gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Chrome auf allen Arbeitsstationen auf Version 156.0.8078.47 oder neuer aktualisieren (Windows und macOS: 156.0.8078.48, wo zutreffend).
- Die installierte Version auf jedem Gerät prüfen und den Browser neu starten, da ein ausstehendes Update nicht bedeutet, dass der alte Prozess beendet wurde.
- Andere Chromium-basierte Browser wie Microsoft Edge ebenfalls aktualisieren und deren Sicherheitsmitteilungen verfolgen.
- Das vollständige Chrome-156-Release, das weitere Sicherheitslücken behebt, im normalen Patch-Zyklus einspielen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium bug tracker: issue 554475322 issues.chromium.org
- Ubuntu security: CVE-2026-113313 ubuntu.com
- Vulners: Debian listings for CVE-2026-113313 vulners.com
- Strix: CVE-2026-113313 (KEV status) www.strix.ai
- HKCERT: Microsoft Edge multiple vulnerabilities www.hkcert.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 12:03.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.