Google Chrome: Unzureichende Eingabevalidierung in Metrics-Komponente
Zusammenfassung
Eine unzureichende Eingabevalidierung in der Metrics-Komponente von Google Chrome unter macOS vor 156.0.8078.73 kann von einem Angreifer aus der Ferne ausgenutzt werden. Mit einer präparierten HTML-Seite kann potenziell beliebiger Code innerhalb der Sandbox ausgeführt werden. Voraussetzung ist, dass ein Benutzer die manipulierte Seite öffnet, zum Beispiel über einen Link in einer E-Mail oder auf einer Website.
Betroffen
- Google Chrome unter macOS vor 156.0.8078.73
- Der Bereichstext des CNA ist intern widersprüchlich; die Beschreibung bestätigt die Grenze.
Behoben in
- Google Chrome unter macOS 156.0.8078.73 oder neuer (Mac-Build wird als 156.0.8078.74 aufgeführt)
- Windows und Linux: Dasselbe Stable-Release deckt sie ab, der CVE-Text betrifft aber nur macOS.
Umgehung
- Kein Workaround des Herstellers bekannt. Das Aktualisieren ist die Behebung.
- VulDB schlägt vor, Site Isolation als Defence-in-Depth zu aktivieren. Dies ist keine Empfehlung von Google und nicht verifiziert.
Ausnutzung
- Laut einem Drittanbieter-Tracker nicht im CISA KEV aufgeführt; nicht direkt verifiziert.
- Per 26. Okt 2026 sind keine Hinweise auf Ausnutzung in freier Wildbahn gemeldet.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Prüfen Sie, ob Chrome auf Macs in Version 156.0.8078.73 oder neuer läuft (156.0.8078.74 wird aufgeführt).
- Erzwingen Sie das automatische Chrome-Update über MDM oder Richtlinien und verlangen Sie Browser-Neustarts.
- Prüfen Sie auch die Windows- und Linux-Builds von Chrome, da das Release sie ebenfalls abdeckt.
- Priorisieren Sie Macs mit Chrome und Benutzer, die unvertrauenswürdige Seiten besuchen; patchen Sie innerhalb weniger Tage.
- Bestätigen Sie den CVSS-Wert bei NVD vor einer Meldung, da die Tracker voneinander abweichen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- VulDB CVE-2026-118335 vuldb.com
- OffSeq Radar CVE-2026-118335 radar.offseq.com
- Strix CVE-2026-118335 www.strix.ai
- MacUpdate Google Chrome google-chrome.macupdate.com
- GitHub tracker astruzocyber CVE issue 3401 github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 09:58.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.