Google Chrome: Speicherbeschädigung in Controls ermöglicht Codeausführung in Sandbox
Zusammenfassung
Google Chrome vor 156.0.8078.47 enthält eine Speicherbeschädigung in der Komponente Controls. Ein entfernter Angreifer kann möglicherweise beliebigen Code innerhalb der Browser-Sandbox ausführen, indem er einen Benutzer auf eine präparierte HTML-Seite lockt. Eine Anmeldung ist nicht nötig, das Opfer muss die Seite aber öffnen. Google stuft die Lücke als niedrig ein, der NVD-Score beträgt CVSS 8.8.
Betroffen
- Google Chrome Desktop für Linux vor 156.0.8078.47
- Google Chrome Desktop für Windows und macOS vor 156.0.8078.48 (gemäss Sekundärquellen)
- Google Chrome für Android vor 156.0.8078.47
- Chromium-basierte Produkte, die den Fix noch nicht übernommen haben (z. B. Microsoft Edge, siehe Edge-Advisory)
Behoben in
- Linux und Android: Chrome 156.0.8078.47 oder neuer
- Windows und macOS: Chrome 156.0.8078.48 oder neuer (gemäss Sekundärquellen; Herstellerhinweis nicht verifiziert)
Umgehung
Unbekannt.
Über das Aktualisieren hinaus ist keine Massnahme dokumentiert. Browser nach dem Update neu starten, da ein laufender Prozess den alten Code weiterverwenden kann.
Ausnutzung
- Die CISA-SSVC-Bewertung führt die Ausnutzung als "poc" auf, d. h. es wird davon ausgegangen, dass ein Proof of Concept existiert. Automatisierbar: nein. Technische Auswirkung: total.
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden. In der Recherche wurde kein Eintrag im CISA-KEV-Katalog gefunden.
Unsere Empfehlung
- Chrome auf 156.0.8078.47 (Linux, Android) bzw. 156.0.8078.48 (Windows, macOS) oder neuer aktualisieren.
- Browser nach dem Update neu starten und die installierte Version prüfen, auch auf verwalteten Geräten.
- Chromium-basierte Produkte wie Microsoft Edge separat prüfen.
- Den CISA-KEV-Katalog erneut prüfen, bevor das Ticket geschlossen wird.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- Vulners CVE record CVE-2026-113331 vulners.com
- Ubuntu CVE tracker CVE-2026-113331 ubuntu.com
- Hong Kong CERT bulletin: Microsoft Edge multiple vulnerabilities www.hkcert.org
- Cybersecurity News: Chrome security update fixing 353 flaws cybersecuritynews.com
- TechGeeks: Security notice Google Chrome 156 stable www.techgeeks.org
- Wikipedia: Google Chrome en.wikipedia.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:53.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.