Google Chrome: Speicherkorruption in Scroll ermöglicht Codeausführung in Sandbox
Zusammenfassung
Google Chrome enthält in der Komponente Scroll eine Speicherkorruption (CWE-119). Ein entfernter Angreifer kann beliebigen Code innerhalb der Browser-Sandbox ausführen, wenn ein Benutzer eine präparierte HTML-Seite besucht. Eine vollständige Kompromittierung würde normalerweise eine weitere Sandbox-Escape erfordern, die in den CVE-Daten nicht beschrieben ist. Der CVSS-Wert 8.8 entspricht den aufgeführten CVE-Daten und wurde nicht gegen die NVD verifiziert.
Betroffen
- Google Chrome-Builds vor 156.0.8078.47, gemäss CVE-Beschreibung
- Der Versionsbereich im CNA-Eintrag ist intern widersprüchlich; die CVE-Beschreibung wird als massgeblich betrachtet
Behoben in
- Google Chrome 156.0.8078.47 oder neuer (Windows, macOS, Linux, Android)
- Spätere Point-Releases enthalten die Korrektur ebenfalls
- Chromium-basierte Browser, wie Microsoft Edge, erhalten die Korrektur über ihre eigenen Updates
Umgehung
- Keine Workaround nötig, sofern das Update installiert ist; die Korrektur ist ein Browser-Update.
- Richtlinien-Steuerungen für Unternehmen oder browserseitige Massnahmen für Scroll: Unbekannt.
Ausnutzung
- Ausnutzung in freier Wildbahn: Unbekannt (keine gefunden; nicht gegen den CISA-KEV-Katalog geprüft).
- Öffentlicher Proof of Concept: Unbekannt (keiner gefunden).
- CISA-SSVC-Bewertung: Ausnutzung none, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Prüfen, ob alle Chrome- und Chromium-basierten Browser (inklusive Edge) mindestens auf 156.0.8078.47 sind, über Hilfe > Über Google Chrome.
- Sicherstellen, dass automatische Browser-Updates aktiviert sind und Browser nach Updates neu gestartet werden.
- Endgeräte mit intensiver Web-Nutzung priorisieren und Benutzer auf Phishing-Links sensibilisieren.
- CVSS-Wert und Status des Eintrags in der NVD bestätigen, bevor darauf vertraut wird.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop (20 Oct 2026) chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- Vulners: MS:CVE-2026-113337 vulners.com
- VulDB entry 424668 vuldb.com
- Ubuntu security notice CVE-2026-113337 ubuntu.com
- Strix CVE-2026-113337 www.strix.ai
- BrowserHow: Chrome 156 stable update browserhow.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:48.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.