Google Chrome: Umgehung der Web-Origin-Policy in der Forms-Komponente
Zusammenfassung
Google Chrome Versionen vor 156.0.8078.73 enthalten einen Fehler bei der Zugriffskontrolle in der Forms-Komponente, der es einem entfernten Angreifer erlaubt, die Web-Origin-Policy zu umgehen. Der Angreifer muss einen Benutzer dazu bringen, eine präparierte HTML-Seite zu öffnen, daher ist eine Benutzerinteraktion nötig. Ein erfolgreicher Angriff kann Daten und Sitzungen auf anderen Websites offenlegen, bei denen der Benutzer angemeldet ist. Chromium stuft die Schwachstelle als High ein, und der CVE-Eintrag nennt einen teilweisen Verlust von Vertraulichkeit und Integrität ohne Auswirkung auf die Verfügbarkeit.
Betroffen
- Google Chrome (Desktop) vor 156.0.8078.73
- Linux-Distributionspakete werden separat erfasst (Ubuntu führt chromium-browser als nicht betroffen, da es das Chromium-Snap installiert)
Behoben in
- Google Chrome 156.0.8078.73 (Linux) sowie 156.0.8078.73/.74 (Windows, macOS), gemäss Sekundärberichten zum Stable-Update von Google vom 27. Oktober 2026. Gegen die Google-Mitteilung prüfen.
- Debian: Chromium-Update DSA 6592-1; die Paketversion ist auf der Debian-Sicherheitsseite zu prüfen.
Umgehung
Unbekannt. Ein Workaround des Herstellers ist nicht dokumentiert. Das Update installieren.
Ausnutzung
- Es wurden keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- Ein Drittanbieter-Tracker meldet, dass die CVE nicht im CISA KEV steht; dies wurde nicht am KEV-Katalog verifiziert.
- Es wurde kein öffentlicher Proof-of-Concept gefunden. Da die Prüfung vor der Veröffentlichung erfolgte, ist dieser Befund nur eingeschränkt aussagekräftig.
Unsere Empfehlung
- Chrome auf allen Endgeräten auf die korrigierte Version aktualisieren und den Browser neu starten.
- Chrome-Versionen auf verwalteten Geräten prüfen und sicherstellen, dass das automatische Update nicht durch Richtlinien blockiert wird.
- Linux-Systeme mit Debian- oder Ubuntu-Paketen separat prüfen.
- Änderungen beim Ausnutzungsstatus beobachten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- Ubuntu security: CVE-2026-118337 ubuntu.com
- Red Hat CVE entry via Vulners (Debian DSA 6592-1 reference) vulners.com
- VulDB: CVE-2026-118337 vuldb.com
- OffSeq radar: CVE-2026-118337 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 00:33.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.