Google Chrome: Out-of-bounds-Schreibzugriff in der Editing-Komponente
Zusammenfassung
Google-Chrome-Desktopversionen vor 156.0.8078.73 enthalten einen Out-of-bounds-Schreibzugriff in der Editing-Komponente. Ein entfernter Angreifer kann durch eine präparierte HTML-Seite möglicherweise beliebigen Code ausserhalb der Chrome-Sandbox ausführen. Dafür muss der Benutzer die Seite besuchen; eine Authentifizierung ist nicht nötig. NVD führt einen CVSS-Wert von 9.6 (Kritisch), Red Hat bewertet die Lücke mit 8.8 (Hoch).
Betroffen
- Google-Chrome-Desktopversionen vor 156.0.8078.73
- Der Bereich der betroffenen Versionen im offiziellen CVE-Eintrag ist unklar; hier wird die Fixversion 156.0.8078.73 des Herstellers verwendet
Behoben in
- Linux: 156.0.8078.73 oder neuer
- Windows und Mac: 156.0.8078.73/.74 oder neuer
- Neuere Builds sollen existieren (156.0.8078.79 oder .80 unter Windows und Mac); nicht gegen die Herstellermeldung verifiziert
- Chromium-basierte Browser wie Microsoft Edge: Fixes ausstehend oder separat zu prüfen
- Ubuntu: chromium-browser-Pakete als nicht betroffen gelistet (Snap-basiert); Debian DSA 6592-1 referenziert, Version nicht verifiziert
- ChromeOS: Fixversion unbekannt
Umgehung
Keine nötig, wenn Chrome aktualisiert wird. Vom Hersteller ist kein Workaround dokumentiert. Das Update wird nach einem Neustart des Browsers wirksam.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung
- Nicht in der CISA-KEV-Liste
- Kein öffentlicher Proof-of-Concept-Exploit gefunden
- EPSS: 0.27 % (Perzentil 20)
Unsere Empfehlung
- Prüfen, ob alle Chrome-Desktopinstallationen auf 156.0.8078.73 oder neuer laufen, idealerweise auf dem neuesten 156.0.8078.x-Build
- Browser nach dem Update neu starten, damit der Fix wirksam wird
- Microsoft Edge und andere Chromium-basierte Browser sowie Chromium-Pakete unter Linux separat prüfen
- Diesen Patch in verwalteten Umgebungen priorisieren, da Browser ein häufiger initialer Angriffsvektor sind
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- Red Hat CVE record via Vulners vulners.com
- Ubuntu security notice CVE-2026-118342 ubuntu.com
- Malwarebytes: Chrome and Firefox updates fix serious security flaws www.malwarebytes.com
- Chrome 156 security update fixes (ChromeGeek) www.chromegeek.com
- Chrome security update October 2026 (Sandbanks Digital) sandbanksdigital.com
- OffSeq Radar threat entry CVE-2026-118342 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:58.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.