Google Chrome: Speicherbeschädigung im Cache erlaubt Codeausführung in Sandbox
Zusammenfassung
Google-Chrome-Desktopversionen vor 156.0.8078.73 enthalten einen Fehler durch Speicherbeschädigung in der Cache-Komponente. Ein entfernter Angreifer kann durch eine präparierte HTML-Seite, die einen Benutzer zum Aufruf veranlasst, potenziell beliebigen Code innerhalb der Browser-Sandbox ausführen. Der CVSS-Wert geht von einer hohen Auswirkung aus, die Herstellerbeschreibung beschränkt den Fehler jedoch auf die Sandbox, und ein Sandbox-Ausbruch wird nicht beschrieben.
Betroffen
- Google Chrome Desktop vor 156.0.8078.73
- Windows und macOS: vor 156.0.8078.73/.74 gemäss MS-ISAC
- Linux: vor 156.0.8078.73 gemäss MS-ISAC
- Chromium-basierte Browser sind von diesem Eintrag nicht abgedeckt und müssen anhand ihrer eigenen Advisories geprüft werden
Behoben in
- Google Chrome 156.0.8078.73 (Linux)
- Google Chrome 156.0.8078.73/.74 (Windows und macOS)
- Behoben im Stable Channel Update for Desktop vom 27. Oktober 2026
Umgehung
- Unbekannt, abgesehen vom Aktualisieren. Dem Hersteller ist keine Workaround-Massnahme bekannt.
Ausnutzung
- In den Quellen wurde kein Nachweis einer Ausnutzung in freier Wildbahn gefunden.
- Laut einem Tracker nicht im CISA-KEV-Katalog aufgeführt; der CISA-Katalog wurde nicht direkt geprüft.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- EPSS: 0.26 % (Perzentil 18).
Unsere Empfehlung
- Alle Chrome-Desktopinstallationen diese Woche auf die behobenen Versionen aktualisieren.
- Automatische Updates per Richtlinie erzwingen und die Chrome-Version auf allen Geräten überprüfen.
- Sicherstellen, dass Chrome neu gestartet wurde, damit die neue Version aktiv ist.
- Andere Chromium-basierte Browser (Edge, Brave, Opera) anhand der Advisories ihrer Hersteller prüfen.
- Ankündigungen des Herstellers und der CISA auf Änderungen beim Ausnutzungsstatus überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker issues.chromium.org
- MS-ISAC advisory for Google Chrome www.cisecurity.org
- Ubuntu CVE tracker ubuntu.com
- OffSeq threat radar radar.offseq.com
- Cobalt issue on Chromium-based forks github.com
- CVE tracker entry on CISA KEV status github.com
- v8go issue on exploitation status github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 09:44.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.