Google Chrome: Pufferüberlauf in Compositing ermöglicht Sandbox-Ausbruch
Zusammenfassung
Google Chrome vor 157.0.8103.50 enthält einen Pufferüberlauf in der Komponente Compositing. Ein entfernter Angreifer, der den Renderer-Prozess bereits kompromittiert hat, kann durch einen präparierten HTML-Seite einen Benutzer dazu bringen, beliebigen Code ausserhalb der Sandbox auszuführen. Der Angriff funktioniert daher nur als zweiter Schritt einer verketteten Ausnutzung. Die Analyse durch die NVD war zum Zeitpunkt der Veröffentlichung noch ausstehend.
Betroffen
- Google Chrome vor 157.0.8103.50 (Desktop)
- Chromium-basierte Browser können den betroffenen Code teilen; der Status ist bei einigen davon nicht bestätigt
Behoben in
- Google Chrome 157.0.8103.50 oder neuer (Stable-Kanal, veröffentlicht am 9. November 2026)
Umgehung
- Keine Workaround dokumentiert. Das Browser-Update installieren.
- Chrome nach dem Update neu starten, da das Update erst nach einem Neustart wirksam wird.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung dieser CVE in freier Wildbahn. Die ausgenutzte Zero-Day-Lücke in derselben Version ist CVE-2026-125350.
- Laut einem Drittanbieter-Tracker nicht im CISA-KEV-Katalog aufgeführt (Stand 10. November 2026); CISA KEV direkt prüfen.
- Kein öffentlicher Proof-of-Concept bekannt (Stand 10. November 2026).
Unsere Empfehlung
- Alle verwalteten Chrome-Installationen auf 157.0.8103.50 oder neuer aktualisieren und dieses Update priorisieren, da es zusammen mit einer aktiv ausgenutzten Zero-Day-Lücke veröffentlicht wurde.
- Prüfen, ob die Browser nach dem Update neu gestartet wurden.
- Extended-Stable-Geräte und Chromium-basierte Browser wie Edge separat prüfen, da deren Patchstand abweichen kann.
- Auf ungewöhnliches Browserverhalten achten und die Benutzer weiterhin für Phishing-Links sensibilisieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue tracker entry issues.chromium.org
- Cybersecurity News: Google Chrome zero-day exploited cybersecuritynews.com
- OffSeq Radar: CVE-2026-125343 radar.offseq.com
- Digital Citizen: Chrome 157 emergency update www.digitalcitizen.life
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 01:24.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.