CVE-2026-102331 в Debian: переполнение буфера в ANGLE, уязвимые версии chromium и проверка исправления

CVE: CVE-2026-102331
Продукт: Debian
Дата публикации: 29.09.2026
Критичность: CRITICAL
CVSS: 9.6 (3.1)
EPSS: нет данных; процентиль нет данных
CISA KEV: нет подтверждения в каталоге CISA KEV

Краткое описание​

В Debian проблема CVE-2026-102331 связана с пакетом chromium. Ошибка находится в компоненте ANGLE и проявляется при обработке специально подготовленной HTML-страницы.

Вектор CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H указывает на удалённый доступ без привилегий, но с взаимодействием пользователя.

Для Debian важно проверить версию chromium в bookworm, trixie, forky и sid, потому что статусы исправления различаются по релизам.

Основные характеристики​

Риск связан с переполнением буфера в ANGLE внутри Chromium/Chrome на Android до версии 154.0.8037.92. В Debian аналогичный компонент распространяется через пакет chromium, поэтому проверка должна проводиться по дистрибутивным версиям пакета.

• CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H — оценка 9.6, критическая тяжесть.
  
• CWE: CWE-122 — buffer overflow.
  
• Уязвимые версии: Google Chrome и Chromium ниже 154.0.8037.92.
  
• Компонент: ANGLE в Chromium/Chrome.
  
• Вектор доступа: удалённый, через специально подготовленную HTML-страницу.
  

Какие продукты и версии затронуты​

В Debian затронут пакет chromium. По данным Debian Security Tracker статусы по релизам такие:

• bookworm: основной репозиторий 150.0.7871.100-1~deb12u1, security-репозиторий 154.0.8037.92-1~deb12u1, статус open.
  
• trixie: основной репозиторий 150.0.7871.181-1~deb13u1, security-репозиторий 154.0.8037.57-1~deb13u1, статус open.
  
• forky: репозиторий 154.0.8037.57-1, статус open.
  
• sid: версия 154.0.8037.92-1, статус resolved.
  

В NVD указано, что затронуты версии Google Chrome ниже 154.0.8037.92.

Причина уязвимости​

Официальное описание указывает на buffer overflow в ANGLE. Это переполнение буфера: данные записываются за пределы выделенного под них пространства памяти.

Вектор CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H показывает, что атака возможна удалённо, без привилегий и без сложной подготовки, но требует взаимодействия пользователя с вредоносной HTML-страницей.

CWE-122 подтверждает класс ошибки как buffer overflow.

Как работает атака​

Атакующий создаёт HTML-страницу, которая вызывает обработку данных в ANGLE внутри Chromium/Chrome. Если версия браузера ниже 154.0.8037.92, переполнение буфера может повлиять на память процесса.

Цель описания — выполнение произвольного кода вне песочницы. Для этого нарушается изоляция: код, который должен ограничиваться внутри браузера, получает возможность воздействовать на системные структуры или процессы за пределами sandbox.

В Debian аналогичный путь проходит через пакет chromium, поэтому уязвимость проявляется в дистрибутивном сборке Chromium, а не только в коммерческом Chrome.

Условия успешной эксплуатации​

Для успешной эксплуатации нужны следующие условия:

• установлен браузер из пакета chromium с версией ниже исправленной;
  
• пользователь открывает вредоносную HTML-страницу;
  
• версия ANGLE/Chromium не содержит исправления на 154.0.8037.92 или эквивалентную дистрибутивную версию;
  
• нет дополнительных ограничений, которые блокировали бы выполнение кода вне песочницы.
  

В Debian конкретные уязвимые версии зависят от релиза: bookworm и trixie имеют security-версии, forky указывает на 154.0.8037.57-1, sid уже resolved.

Возможный сценарий атаки​

Сценарий начинается с того, что пользователь открывает страницу в Chromium из Debian.

Страница содержит данные, которые обрабатываются компонентом ANGLE. При обработке происходит запись за пределы буфера.

Если переполнение влияет на критические структуры памяти, атакующий может получить возможность выполнить код вне песочницы браузера.

В Debian это означает риск для систем, где chromium установлен из основного репозитория и не обновлён из security-репозитория.

Есть ли публичный эксплойт​

В предоставленных источниках нет отдельного поля с подтверждённым публичным эксплойтом. Есть описание уязвимости, CVSS-вектор, CWE и ссылки на Chromium issue и release notes.

Отсутствие явного PoC в пакете доказательств не означает, что техническое описание атаки невозможно. Но конкретный рабочий payload, reverse shell или пошаговую боевую команду из источников не следует выдумывать.

Признаки эксплуатации​

Специфичных IOC для CVE-2026-102331 в предоставленных источниках нет.

Неспецифичные точки контроля:

• неожиданные процессы, запущенные из под пользователя браузера;
  
• новые сетевые соединения из процесса chromium или chrome;
  
• изменения в файловой системе после открытия подозрительной страницы;
  
• аномальные записи в журналах браузера и системных логах.
  

Эти признаки не являются подтверждёнными признаками именно этой уязвимости, а только общие точки проверки.

Как обнаружить атаку​

Для обнаружения следует проверять версию пакета chromium и наличие обновлений из security-репозитория.

Полезные команды:

dpkg-query -W -f='${Package} ${Version}\n' chromium
apt-cache policy chromium

Если установлен пакет ниже исправленной версии, система попадает в зону риска. Для bookworm и trixie важно проверять наличие security-обновлений.

Дополнительно можно смотреть журналы браузера и системные логи на аномальные действия процесса chromium.

Как проверить свою версию​

Для проверки версии Debian и пакета chromium:

cat /etc/debian_version
cat /etc/os-release
apt-cache policy <имя-пакета>
dpkg-query -W -f='${Package} ${Version}\n' <имя-пакета>

Замените <имя-пакета> на chromium, если проверяете именно этот пакет.

Сравните полученную версию с версиями из Debian Security Tracker: bookworm-security 154.0.8037.92-1~deb12u1, trixie-security 154.0.8037.57-1~deb13u1, forky 154.0.8037.57-1, sid 154.0.8037.92-1.

Исправление​

Исправление в Debian выполняется обновлением пакета chromium из соответствующего security-репозитория.

Для bookworm:

apt update
apt upgrade chromium

Для trixie и forky аналогично: обновление из security-репозитория.

Для sid статус resolved, но всё равно рекомендуется проверить актуальность версии.

После обновления выполните проверку версии пакета.

Временные меры защиты​

Пока нет подтверждённого временного обхода в источниках. Практические меры:

• не открывать недоверенные HTML-страницы;
  
• ограничить доступ к интернету для систем с уязвимым chromium;
  
• использовать отдельные профили браузера для чувствительных задач;
  
• проверить, что sandbox и другие изоляционные механизмы включены по умолчанию.
  

Эти меры не заменяют обновление пакета.

Как проверить устранение уязвимости​

После обновления проверьте версию пакета:

dpkg-query -W -f='${Package} ${Version}\n' chromium
apt-cache policy chromium

Убедитесь, что версия соответствует security-версии из Debian Security Tracker.

Также можно проверить статус в Debian Security Tracker: Debian Security Tracker — CVE-2026-102331.

Вывод​

CVE-2026-102331 в Debian требует проверки пакета chromium. Риск связан с переполнением буфера в ANGLE и возможностью выполнения кода вне песочницы браузера. Для bookworm, trixie и forky статус open, для sid resolved. Обновление из security-репозитория — основной способ устранения.

Официальные источники​

1. NVD — CVE-2026-102331
   
2. Debian Security Tracker — CVE-2026-102331
   

История обновлений статьи​

• 01.10.2026 — Опубликована первая версия материала.