Google Chrome: Use-after-free in Chromecast ermöglicht Codeausführung in Sandbox

Zusammenfassung

Eine Use-after-free-Schwachstelle in der Chromecast-Komponente von Google Chrome erlaubt einem entfernten Angreifer, beliebigen Code innerhalb der Browser-Sandbox auszuführen. Der Angreifer benötigt, dass der Benutzer eine präparierte HTML-Seite öffnet, zum Beispiel über Phishing oder eine bösartige oder kompromittierte Website. Die NVD vergibt einen CVSS-3.1-Basiswert von 8.8 (hoch). Eine Ausnutzung in freier Wildbahn oder ein öffentlicher Proof of Concept ist nicht bekannt.

Betroffen

• Google Chrome-Versionen vor 156.0.8078.47 (gemäss CVE-Beschreibung). - Der betroffene Bereich im CVE-Eintrag ist intern widersprüchlich und muss mit der Herstellerwarnung abgeglichen werden. - Linux-Distributionen liefern eigene Chromium-Builds (Debian DSA 6577-1 und DLA 4853-1 werden genannt); Ubuntu führt das chromium-browser-Snap als nicht betroffen.

Behoben in

• Google Chrome 156.0.8078.47 für Linux (gemäss Sekundärberichten). - Google Chrome 156.0.8078.47 oder .48 für Windows und macOS (gemäss Sekundärberichten, noch nicht in der Herstellerwarnung bestätigt). - Android 156.0.8078.47 (gemäss Sekundärberichten). Die genauen Build-Nummern vor dem Erfassen in einem Patch-Ticket in der Chrome-Releases-Ankündigung prüfen.

Umgehung

Unbekannt. In den geprüften Quellen ist kein patchfreier Workaround dokumentiert. Das Deaktivieren der Cast-/Media-Router-Funktion über eine Chrome-Enterprise-Richtlinie kann die Exposition verringern, ist aber für diese CVE nicht gegen die Dokumentation von Google geprüft.

Ausnutzung

• Zum Zeitpunkt der Prüfung ist keine Ausnutzung in freier Wildbahn bekannt. - Es wurde kein öffentlicher Proof of Concept gefunden. - CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total. - Der CISA-KEV-Katalog wurde nicht direkt geprüft.

Unsere Empfehlung

• Alle Google-Chrome-Installationen über das Verwaltungswerkzeug auf Version 156.0.8078.47 oder neuer aktualisieren (156.0.8078.48 unter Windows und macOS, sobald bestätigt). - Den Browser nach dem Update neu starten, da ein laufender Prozess die alte Version weiterverwenden kann. - Chrome-Versionen unter Windows, macOS, Linux und Android inventarisieren und nach Versionen unter 156.0.8078.47 suchen. - Prüfen, ob die Cast-Funktion auf verwalteten Geräten benötigt wird. - Den CISA-KEV-Katalog und den Chromium-Issue-Tracker in ein bis zwei Wochen erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
• Chromium issue tracker entry issues.chromium.org
• Vulners CVE record CVE-2026-113327 vulners.com
• VulDB entry CVE-2026-113327 vuldb.com
• Cybersecurity News: Chrome 156 security update cybersecuritynews.com
• TechGeeks: Google Chrome 156 stable security notice www.techgeeks.org
• Ubuntu security tracker CVE-2026-113327 ubuntu.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:51.