Google Chrome für Android: Speicherkorruption in CustomTabs
Zusammenfassung
Eine Speicherkorruption (CWE-119) in der Komponente CustomTabs von Google Chrome für Android erlaubt einem Angreifer aus der Ferne, möglicherweise beliebigen Code innerhalb der Sandbox des Browsers auszuführen. Der Angreifer muss einen Benutzer dazu bringen, eine präparierte HTML-Seite zu öffnen, daher ist eine Benutzerinteraktion erforderlich und keine Anmeldung nötig. Chromium stuft das Problem als niedrig ein, der CVSS-Basiswert laut NVD beträgt 8.8. Eine vollständige Kompromittierung des Geräts würde in der Regel zusätzlich eine separate Sandbox-Flucht erfordern, dies ist eine Einschätzung und keine Aussage einer Quelle.
Betroffen
- Google Chrome auf Android vor 156.0.8078.47 (gemäss der Beschreibung der CNA)
- Der betroffene Versionsbereich ist in den Quellen uneinheitlich; VulDB nennt bis 155.0.8059.84, einzelne Aggregatoren zeigen einen ungültigen Bereich.
Behoben in
- Google Chrome für Android 156.0.8078.47 oder neuer (gemäss Sekundärquellen; das Herstellerhinweis wurde nicht direkt geprüft)
- Es können später neuere Android-Versionen existieren; die aktuelle Version im Play Store prüfen.
Umgehung
- Unbekannt. Es wurde kein Workaround des Herstellers identifiziert. Die Behebung erfolgt durch Installation des Updates.
Ausnutzung
- Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
- Es wurde kein öffentlicher Proof of Concept gefunden.
- VulDB zeigt die Markierung "0-Day", dies ist eine Klassifizierung von VulDB und keine bestätigte Meldung einer Ausnutzung; die Angabe ist daher unverifiziert.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Sicherstellen, dass Chrome auf allen Android-Geräten, einschliesslich Diensthandys, auf Version 156.0.8078.47 oder neuer ist.
- Automatische Updates über MDM oder die Google-Play-Verwaltung erzwingen.
- Prüfen, ob Apps auf verwalteten Geräten CustomTabs verwenden, und diese aktuell halten.
- Den Hinweis von Google und das Chromium-Ticket auf Änderungen des Ausnutzungsstatus überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Google Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- Microsoft MSRC update guide (NVD score reference) msrc.microsoft.com
- VulDB entry vuldb.com
- Offseq threat radar radar.offseq.com
- Strix CVE record www.strix.ai
- TechGeeks Chrome 156 security notice www.techgeeks.org
- SecurityOnline Chrome 156 security update securityonline.info
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:52.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.