Google Chrome: Speicherkorruption in Erweiterungen ermöglicht Codeausführung in Sandbox
Zusammenfassung
Google Chrome vor 156.0.8078.47 enthält eine Speicherkorruption in der Erweiterungskomponente (CWE-119). Ein entfernter Angreifer kann beliebigen Code innerhalb der Browser-Sandbox ausführen, indem er einen Benutzer auf eine präparierte HTML-Seite lockt. Chromium stuft die Lücke als Medium ein, und eine Ausnutzung in freier Wildbahn ist nicht bekannt.
Betroffen
- Google Chrome vor 156.0.8078.47
- Chromium-basierte Browser, die den Fix übernehmen, etwa Microsoft Edge, je nach Release
- Hinweis: Der Bereich der betroffenen Versionen im CVE-Eintrag ist widersprüchlich ("156.0.8078.47 bis < 156.0.8078.47"); die Beschreibung impliziert Builds vor 156.0.8078.47
Behoben in
- Google Chrome 156.0.8078.47 (Linux)
- Windows und macOS: 156.0.8078.47 oder 156.0.8078.48 (das genaue Build mit diesem Fix ist nicht verifiziert)
- Android: 156.0.8078.47
- Debian- und Ubuntu-Pakete: siehe die Tracker der Distributionen; Ubuntu markiert sein Paket chromium-browser als nicht betroffen, da es ein Snap-Wrapper ist
Umgehung
Unbekannt. Es ist kein Workaround des Herstellers dokumentiert, da ein gepatchtes Build verfügbar ist.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; nicht in CISA KEV gelistet.
- Kein öffentlicher Proof-of-Concept gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Chromium-Schweregrad: Medium.
Unsere Empfehlung
- Chrome und Chromium-basierte Browser wie Edge über eine verwaltete Verteilung auf die korrigierten Builds aktualisieren.
- Die installierte Version auf jedem Endgerät prüfen und den Browser neu starten, damit der Fix wirksam wird.
- Den CVSS-Wert 8.8 auf NVD überprüfen, da einige Aggregatoren die CVE noch als unbewertet anzeigen.
- Installierte Browser-Erweiterungen prüfen und nicht benötigte entfernen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- Vulners: CVE-2026-113335 (CVE list) vulners.com
- Ubuntu CVE tracker: CVE-2026-113335 ubuntu.com
- GBHackers: Google Chrome 156 fixes 353 security vulnerabilities gbhackers.com
- TechGeeks: Security notice Google Chrome 156 stable www.techgeeks.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:47.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.