Google Chrome für Android: Unzureichende Eingabevalidierung in der Benutzeroberfläche
Zusammenfassung
Google Chrome für Android vor 156.0.8078.73 enthält eine Schwachstelle bei der Eingabevalidierung in der Benutzeroberfläche (CWE-20). Ein entfernter Angreifer kann über eine präparierte HTML-Seite möglicherweise beliebigen Code innerhalb der Sandbox des Browsers ausführen. Voraussetzung ist, dass ein Benutzer die manipulierte Seite aufruft; der CVSS-Wert beträgt 8.8 (hoch).
Betroffen
- Google Chrome für Android vor 156.0.8078.73 (gemäss CVE-Eintrag)
Behoben in
- Chrome für Android 156.0.8078.73 (Korrektur des Herstellers gemäss CVE-Referenzen)
- Neuerer Build 156.0.8078.79, laut APKMirror (Sekundärquelle, nicht gegen den Hersteller verifiziert)
Umgehung
- Unbekannt. In den Quellen ist kein Workaround dokumentiert; ein Update ist die Massnahme.
Ausnutzung
- Bis Ende Oktober 2026 wurden keine Ausnutzung und kein öffentlicher Exploit-Code gemeldet.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- EPSS: 0.27 % (Perzentil 20).
Unsere Empfehlung
- Chrome für Android über Google Play oder Ihr MDM auf den neuesten stabilen Build aktualisieren.
- Android-Telefone und -Tablets, die zum Surfen genutzt werden, priorisieren.
- Prüfen, ob verwaltete Geräte die Chrome-Version 156.0.8078.73 oder neuer melden.
- Auf Berichte über Ausnutzung achten und Benutzer an die Vorsicht bei unbekannten Links erinnern.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- CVE record mirror (threatint) cve.threatint.com
- Radar Offseq threat entry radar.offseq.com
- APKMirror: Chrome 156.0.8078.79 www.apkmirror.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 10:05.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.