Google Chrome: Use-after-free in Performance-Komponente erlaubt Code-Ausführung in Sandbox
Zusammenfassung
Google-Chrome-Versionen vor 156.0.8078.47 enthalten eine Use-after-free-Schwachstelle in der Performance-Komponente (CWE-416). Ein entfernter Angreifer kann durch eine präparierte HTML-Seite beliebigen Code innerhalb der Browser-Sandbox ausführen. Der Angriff erfordert eine Benutzerinteraktion, etwa das Öffnen eines bösartigen Links oder den Besuch einer kompromittierten Website, und keine Authentifizierung.
Betroffen
- Google Chrome vor 156.0.8078.47 (Desktop)
- Chromium-basierte Installationen aus Versionen vor 156.0.8078.47, je nach Kanal und Plattform
- Hinweis: Scanner können 156.0.8078.47 aufgrund einer Abweichung bei der Fixversion (8078 vs. 8087) als verwundbar melden; die Build-Nummer des Herstellers lautet 156.0.8078.47.
Behoben in
- Chrome 156.0.8078.47 oder neuer (Linux, Android)
- Chrome 156.0.8078.47/.48 oder neuer (Windows, macOS)
- Debian: Updates gemäss DSA 6577-1 und DLA 4853-1
- Ubuntu: chromium-browser-Pakete sind als nicht betroffen markiert, da sie ein Snap verwenden; Snap-Version prüfen.
Umgehung
Keine Workaround verfügbar. Update einspielen.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof-of-Concept bekannt.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- CVSS-Bewertungen unterscheiden sich: NVD 8.8 (High), VulDB 6.3; Chromium-Schweregrad Medium.
Unsere Empfehlung
- Chrome und andere Chromium-basierte Browser (z. B. Edge) auf allen Systemen auf 156.0.8078.47 oder neuer aktualisieren.
- Browser nach dem Update neu starten, damit die neue Version aktiv ist.
- Auf Linux-Systemen die Version des Debian- oder Snap-Pakets prüfen.
- Scanner-Befunde vor einer Eskalation anhand der Hersteller-Build-Nummer überprüfen.
- Den CISA-KEV-Katalog auf Statusänderungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- CVE description (Vulners) vulners.com
- VulDB entry vuldb.com
- Ubuntu security tracker ubuntu.com
- Wazuh false-positive issue github.com
- Grype false-positive issue github.com
- Secondary release coverage (Cybersecuritynews) cybersecuritynews.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:46.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.