Google Chrome: Use after free in Paint ermöglicht Codeausführung in Sandbox
Zusammenfassung
Google-Chrome-Versionen vor 156.0.8078.73 enthalten eine Use-after-free-Schwachstelle in der Komponente Paint. Ein entfernter Angreifer kann durch eine präparierte HTML-Seite Code innerhalb der Browser-Sandbox ausführen. Der Angriff benötigt keine Authentifizierung, erfordert aber eine Benutzerinteraktion, etwa den Besuch der Seite. Die Beschreibung erwähnt keinen Sandbox-Ausbruch, daher wäre eine vollständige Kompromittierung des Systems normalerweise nur mit einer zusätzlichen Schwachstelle möglich.
Betroffen
- Google Chrome (Desktop) vor 156.0.8078.73
- Betroffener Bereich laut CVE-Eintrag: 156.0.8078.73 bis < 156.0.8078.73 (vom CNA so angegeben; die Grenze ist unklar)
Behoben in
- Google Chrome 156.0.8078.73 oder neuer (gemäss Stable Channel Update vom 27. Oktober 2026; Windows- und Mac-Builds laut Sekundärquellen 156.0.8078.73/.74, noch nicht gegen den Herstellerbeitrag verifiziert)
- Linux: google-chrome-stable 156.0.8078.73-1 (Ubuntu-Paketliste)
- Chromium auf Ubuntu (Snap-Wrapper) wird als nicht betroffen geführt; dies gilt nicht für Google Chrome
Umgehung
- Keine vom Hersteller dokumentierte Workaround-Massnahme bekannt. Das Aktualisieren ist die Behebung.
- Eine minimale Chrome-Version über die verwaltete Update-Richtlinie erzwingen.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- Gemäss einer Drittquelle nicht in der CISA KEV gelistet; direkt bei der CISA überprüfen.
- Kein öffentlicher Proof-of-Concept-Code gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- EPSS: 0.26 % (Perzentil 18).
Unsere Empfehlung
- Die Chrome-Version auf allen Endgeräten und Servern prüfen; Ziel ist 156.0.8078.73 oder neuer.
- Das Update über die verwaltete Richtlinie erzwingen und Browser neu starten.
- Das Stable Channel Update als Paket einspielen, da insgesamt 52 Schwachstellen behoben werden.
- Innerhalb des Notfall- oder Hochprioritätsfensters patchen, da der Browser aus dem Internet erreichbar ist.
- Google-Advisory und CISA KEV nach einer bis zwei Wochen auf Änderungen des Ausnutzungsstatus prüfen.
- Den Updatestand abgeleiteter Browser (z. B. Brave, Vivaldi, Edge) über deren eigene Advisories prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- Ubuntu CVE tracker ubuntu.com
- OffSeq Radar threat entry radar.offseq.com
- Ubuntu Updates: google-chrome-stable www.ubuntuupdates.org
- Cybersecurity News: Google fixes 52 Chrome security flaws cybersecuritynews.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 09:45.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.