Google Chrome: Speicherbeschädigung in Turbolev
Zusammenfassung
Eine Speicherbeschädigung in der Komponente Turbolev von Google Chrome vor 156.0.8078.73 kann durch eine manipulierte HTML-Seite ausgelöst werden. Ein Angreifer, der einen Benutzer auf eine solche Seite lockt, könnte ohne Authentifizierung möglicherweise beliebigen Code ausserhalb der Chrome-Sandbox ausführen. Die Ausnutzung setzt voraus, dass der Benutzer die bösartige Seite öffnet.
Betroffen
- Google Chrome vor 156.0.8078.73 (Desktop)
- Auf Chromium basierende Builds und Linux-Distributionspakete von Chromium können einen abweichenden Zeitpunkt für die Behebung haben; die jeweilige Herstellerwarnung prüfen
Behoben in
- Google Chrome 156.0.8078.73 oder neuer (Stable-Channel-Update vom 27. Okt. 2026)
- Die Build-Nummern stammen aus einer sekundären Quelle und sollten in der Chrome-Releases-Warnung bestätigt werden
Umgehung
Unbekannt.
- Es ist keine vom Hersteller dokumentierte Zwischenmassnahme bekannt; das Einspielen des Updates ist die Behebung.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Kein öffentlicher Proof of Concept gefunden.
- CVSS 9.6 (NVD), während VulDB 6.3 (Mittel) angibt; der NVD-Wert sollte bestätigt werden.
Unsere Empfehlung
- Google Chrome auf allen verwalteten und nicht verwalteten Geräten auf 156.0.8078.73 oder neuer aktualisieren; das Update ist dringend einzuspielen.
- Linux-Systeme anhand der Sicherheitswarnung des Distributionspakets chromium prüfen.
- Die automatische Aktualisierung von Chrome für Remote- und nicht verwaltete Geräte aktivieren.
- Das vollständige Chrome-Update einspielen, da es weitere Sicherheitskorrekturen enthält.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Google Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium bug 568348290 issues.chromium.org
- Red Hat CVE / Vulners aggregation vulners.com
- VulDB CVE entry vuldb.com
- Strix CVE entry www.strix.ai
- Positive Technologies via Vulners vulners.com
- Secondary report on Chrome and Firefox updates malware.news
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 22:05.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.