Google Chrome: Use after free in Quota-Komponente
Zusammenfassung
Eine Use-after-free-Schwachstelle in der Quota-Komponente von Google Chrome vor 156.0.8078.79 kann durch eine präparierte HTML-Seite ausgelöst werden. Ein entfernter Angreifer kann dadurch möglicherweise beliebigen Code innerhalb der Browser-Sandbox ausführen. Der Angriff erfordert, dass ein Benutzer die schädliche Seite besucht; eine Authentifizierung ist nicht nötig. Chromium stuft die Schwachstelle als Schweregrad High ein.
Betroffen
- Google Chrome vor 156.0.8078.79 (Desktop)
- VulDB führt den Bereich bis 156.0.8078.73; weitere 156.x-Builds sind laut Recherche ebenfalls betroffen
- Unbekannt, ob ältere Hauptversionen oder Extended-Stable-Builds durch separate Einträge abgedeckt sind
Behoben in
- Google Chrome 156.0.8078.79 für Linux und Android
- Google Chrome 156.0.8078.79 oder neuer für Windows und macOS (gemäss Drittquellen, die die Herstellermitteilung zitieren)
Umgehung
- Kein Workaround ausser dem Aktualisieren von Chrome bekannt.
Ausnutzung
- Kein Hinweis auf Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof of Concept gefunden.
- Laut Drittquellen nicht im CISA-KEV-Katalog aufgeführt; direkt im CISA-KEV-Katalog prüfen.
- EPSS: 0.2 % (Perzentil 10).
Unsere Empfehlung
- Google Chrome noch heute auf allen Endgeräten auf Version 156.0.8078.79 oder neuer aktualisieren und die Version in Ihrem Verwaltungswerkzeug überprüfen.
- Updates über MDM oder Chrome-Enterprise-Richtlinien erzwingen.
- Prüfen, ob andere Chromium-basierte Browser (zum Beispiel Edge, Brave, Vivaldi) ebenfalls aktualisiert sind.
- Dieselbe Version behebt 21 Sicherheitsprobleme; den gesamten Build einspielen.
- Den CISA-KEV-Katalog und den Chromium-Bug-Tracker auf Änderungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- VulDB entry CVE-2026-119266 vuldb.com
- OffSeq threat radar entry radar.offseq.com
- TechSpot Google Chrome download page www.techspot.com
- PiunikaWeb Chrome 156 security update piunikaweb.com
- CVE record mirror (threatint) cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 08:53.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.