Google Chrome: Unzureichende Eingabevalidierung in Privacy-Komponente
Zusammenfassung
Eine unzureichende Eingabevalidierung in der Privacy-Komponente von Google Chrome für Desktop vor 156.0.8078.47 erlaubt einem Angreifer aus der Ferne möglicherweise die Ausführung von beliebigem Code ausserhalb der Browser-Sandbox. Der Angreifer muss einen Benutzer dazu bringen, eine präparierte HTML-Seite aufzurufen; eine Authentifizierung ist nicht nötig. NVD stuft die Lücke als kritisch ein (CVSS 3.1 9.6), während Googles Chromium-Sicherheitsschweregrad Mittel lautet und VulDB einen Basiswert von 6.3 angibt.
Betroffen
- Google Chrome für Desktop vor 156.0.8078.47
- Windows, macOS und Linux
Behoben in
- Google Chrome 156.0.8078.47 oder neuer (Mindestziel; aktuelle Stable-Version empfohlen)
- Drittquellen nennen 156.0.8078.73 oder 156.0.8078.74 (Windows und Mac) sowie 156.0.8078.73 (Linux) als spätere Stable-Versionen; anhand des Chrome-Releases-Blogs prüfen
- Vollständige Fix-Liste im Chrome-Advisory nicht bestätigt
Umgehung
- Unbekannt. Kein Workaround des Herstellers identifiziert; Update einspielen.
Ausnutzung
- Nicht im CISA-KEV-Katalog aufgeführt; EPSS unbekannt.
- Kein öffentlicher Proof of Concept gefunden.
- Ausnutzung in freier Wildbahn: unbekannt (keine Hinweise gefunden).
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
Unsere Empfehlung
- Prüfen, ob das automatische Chrome-Update funktioniert und alle Desktop-Browser die aktuelle Stable-Version (mindestens 156.0.8078.47) verwenden.
- Sicherstellen, dass Benutzer Chrome nach dem Update neu starten, da das Update erst nach einem Neustart wirksam wird.
- Verwaltete und Chromium-basierte Browser (zum Beispiel Microsoft Edge) separat prüfen und deren Updates einspielen.
- Chromium-Issue-Tracker und CISA KEV auf Änderungen beobachten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- NVD record via Vulners vulners.com
- VulDB entry vuldb.com
- Ubuntu security CVE page ubuntu.com
- Chrome security update guide (October 2026) sandbanksdigital.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 22:23.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.