Google Chrome für iOS: Speicherbeschädigung in der Navigationskomponente
Zusammenfassung
Eine Speicherbeschädigung in der Navigationskomponente von Google Chrome auf iOS erlaubt einem entfernten Angreifer, möglicherweise beliebigen Code innerhalb der Browser-Sandbox auszuführen. Der Angreifer muss einen Benutzer dazu bringen, eine präparierte HTML-Seite zu öffnen; eine Authentifizierung ist nicht erforderlich. Der CVSS-3.1-Basiswert beträgt 8.8 (hoch), während Google den Chromium-Sicherheitsschweregrad als mittel einstuft.
Betroffen
- Google Chrome auf iOS vor 156.0.8078.47
- Desktop- und andere Plattformen sind gemäss Umfang dieses CVE-Eintrags nicht betroffen (Ubuntu listet seine Chromium-Pakete als nicht betroffen)
Behoben in
- Chrome 156.0.8078.47 oder neuer, gemäss CVE-Beschreibung
- Welcher iOS-Build die Korrektur erstmals enthält, ist nicht klar dokumentiert. Googles iOS-Versionshinweise nennen 156.0.8078.46 vom 20. Oktober 2026, was unterhalb der korrigierten Version liegt. Wikipedia nennt für iOS 156.0.8078.54 vom 23. Oktober 2026. Die aktuelle Version vor dem Vertrauen darauf prüfen.
Umgehung
- Kein Workaround des Herstellers bekannt.
- Benutzer können zu Safari wechseln, um die Exposition gegenüber dieser Chrome-Komponente zu reduzieren. Dies ist eine Vorsichtsmassnahme und keine Empfehlung des Herstellers.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof of Concept gefunden.
- CISA-SSVC-Bewertung: Exploitation none, Automatable no, Technical Impact total.
- EPSS-Wert von 0.00434 (sehr niedrig).
Unsere Empfehlung
- Chrome auf iOS auf die neueste Version aus dem App Store aktualisieren und das Update wenn möglich per MDM verteilen.
- Geräte priorisieren, die sensible Daten oder geschäftliche E-Mails verarbeiten.
- Benutzer daran erinnern, keine Links aus unbekannten E-Mails oder Nachrichten zu öffnen.
- Die Versionshinweise von Google zu Chrome für iOS auf die genaue korrigierte Version hin überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chrome Releases: Chrome Stable for iOS update chromereleases.googleblog.com
- Chromium issue tracker 429432679 issues.chromium.org
- NVD record via Vulners vulners.com
- Ubuntu CVE tracker ubuntu.com
- Google Chrome (Wikipedia) en.wikipedia.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:56.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.