CVE-2026-103630 в Debian: use after free в FedCM Chromium и выполнение кода вне песочницы

CVE: CVE-2026-103630
Продукт: Debian
Дата публикации: 02.10.2026
Критичность: CRITICAL
CVSS: 9.6 (3.1)
EPSS: 0,21%; процентиль 10,88%
CISA KEV: нет подтверждения в каталоге CISA KEV

Краткое описание​

CVE-2026-103630 — уязвимость типа use after free (CWE-416) в механизме FedCM (Federated Credential Management API) браузера Chromium. По описанию из NVD, удалённый атакующий может выполнить произвольный код вне песочницы браузера, заманив пользователя на специально подготовленную HTML-страницу.

Для Debian это означает, что затронут пакет chromium: по данным Debian Security Tracker, во всех отслеживаемых релизах (bookworm, trixie, forky, sid) уязвимость имеет статус open, а исправленная версия пакета ещё не назначена. Оценка CVSS 3.1 — 9.6 (CRITICAL), вектор CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H.

Статья объясняет, как ошибка нарушает границу доверия между веб-контентом и процессом браузера, что известно о состоянии исправлений в Debian и какие шаги проверки и снижения риска доступны администратору прямо сейчас.

Основные характеристики​

Суть риска простыми словами: если пользователь уязвимой версии браузера откроет вредоносную страницу, код на этой странице может получить управление вне песочницы браузера — за пределами той изоляции, которая обычно сдерживает ущерб от скомпрометированного веб-контента.

Ключевые параметры:

• Тип ошибки: use after free, класс CWE-416 — обращение к памяти объекта после его освобождения;
  
• Затронутый компонент: FedCM (Federated Credential Management API) в Chromium;
  
• CVSS 3.1: 9.6, уровень CRITICAL, вектор CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H — атака через сеть, без привилегий, но с взаимодействием пользователя, область воздействия выходит за пределы уязвимого компонента;
  
• Последствие: выполнение произвольного кода вне песочницы браузера;
  
• EPSS: 0,22% (процентиль 10,89%) — расчётная вероятность эксплуатации в ближайшие 30 дней пока низкая, но для свежих браузерных уязвимостей оценка может быстро измениться;
  
• CISA KEV: в каталоге Known Exploited Vulnerabilities уязвимость не значится;
  
• Статус в Debian: open для bookworm, trixie, forky и sid, исправленная версия пакета не назначена.
  

Приоритетный скор из агрегированных данных — 152.91; это внутренняя приоритизация, а не официальная метрика CVSS или EPSS.

Какие продукты и версии затронуты​

Уязвимость затрагивает Google Chrome всех версий до 154.0.8037.97 включительно (граница version_end_excluding: 154.0.8037.97 в CPE-записи cpe:2.3:a:google:chrome:*). В Debian уязвимый компонент распространяется как исходный пакет chromium.

По данным Debian Security Tracker, статус open (уязвимость пока не закрыта исправлением) зафиксирован для следующих релизов:

• bookworm (Debian 12) — в основном репозитории 150.0.7871.100-1~deb12u1, в репозитории bookworm-security — 154.0.8037.92-1~deb12u1;
  
• trixie (Debian 13) — в основном репозитории 150.0.7871.181-1~deb13u1, в репозитории trixie-security — 154.0.8037.92-1~deb13u1;
  
• forky — 154.0.8037.92-1;
  
• sid (unstable) — 154.0.8037.92-1.
  

Для всех перечисленных релизов поле fixed_version пустое, а срочность (urgency) обозначена как not yet assigned. На момент выгрузки данных исправленная версия пакета не опубликована ни в одном из затронутых выпусков Debian.

Нюанс версий: верхняя граница уязвимости по NVD — 154.0.8037.97, тогда как в репозиториях Debian присутствуют сборки 154.0.8037.92. Формально эти сборки также попадают в диапазон «до 154.0.8037.97». Сведения о других продуктах на базе Chromium (например, производных браузерах) в доступных источниках не раскрыты — делать выводы об их затронутости без подтверждения некорректно.

Причина уязвимости​

Корневая причина — дефект управления временем жизни объекта в коде FedCM: объект освобождается, после чего к нему происходит обращение (use after free, CWE-416). FedCM — это API федеративного управления учётными данными, через который сайты запрашивают у браузера вход через поставщика идентификации; он обрабатывает данные из недоверенного веб-контента и находится на границе доверия между страницей и браузером.

Нарушенный инвариант здесь — корректность жизненного цикла объекта: код не гарантирует, что ссылка на объект не переживает само освобождение. В результате содержимое уже освобождённой памяти интерпретируется как валидные структуры браузера.

Точные внутренние детали (какие именно структуры FedCM освобождаются преждевременно, какая последовательность вызовов к этому приводит) в переданных источниках не раскрыты. Публично подтверждены только класс ошибки, компонент и последствие; более глубокий разбор потребовал бы доступа к Chromium issue tracker (issues.chromium.org/issues/557323166), содержимое которого в пакете доказательств не приведено.

Как работает атака​

Механика атаки описана в официальном описании уязвимости и восстанавливается по нему следующим образом.

Исходная точка — специально сконструированная HTML-страница. Атакующий добивается того, чтобы браузер жертвы обработал эту страницу: в момент обработки код, обслуживающий FedCM, обращается к объекту в памяти, который уже был освобождён. Это классический сценарий use after free: последовательность «освобождение — последующее использование» нарушает инварианты управления памятью.

Дальнейшее развитие зависит от того, что именно окажется по адресу освобождённого объекта. По описанию уязвимости результат достигает уровня выполнения произвольного кода вне песочницы (outside the sandbox). Это ключевая деталь: граница изоляции рендерера, которая при штатной работе сдерживает последствия компрометации веб-контента, в данном случае не останавливает атакующего.

Что подтверждено источниками, а что нет:

• подтверждено: тип ошибки (use after free), компонент (FedCM), вектор доставки (crafted HTML page), результат (произвольный код вне песочницы), уровень критичности по классификации Chromium (High);
  
• не подтверждено: конкретные внутренние структуры, последовательность вызовов, техника превращения UAF в исполнение кода, а также то, требовалось ли определённое взаимодействие пользователя с элементами страницы FedCM (например, диалогом входа) — описание ограничивается формулировкой «via a crafted HTML page».
  

Публичных технических разборов с пошаговым описанием примитива в переданном пакете доказательств нет, поэтому более детальное описание механики было бы домыслом.

Условия успешной эксплуатации​

Подтверждённые и выведенные из вектора CVSS условия эксплуатации:

• уязвимая версия Chromium/Chrome — строго ниже 154.0.8037.97;
  
• возможность доставить жертве специально подготовленную HTML-страницу и побудить её открыть эту страницу в уязвимом браузере (компонент UI:R вектора — требуется взаимодействие пользователя);
  
• сетевая доступность атакующего контента для жертвы (компонент AV:N — вектор атаки сетевой);
  
• отсутствие привилегий у атакующего до атаки (PR:N) — права в системе не требуются, мишень — сам браузер.
  

Дополнительные условия в источниках не раскрыты: не подтверждено, требуется ли определённое состояние браузера (например, активная сессия с FedCM или конкретные действия пользователя на странице), работает ли эксплойт на всех затронутых платформах и зависит ли надёжность срабатывания от конфигурации системы. Эти детали следует считать неизвестными до появления технического анализа.

Возможный сценарий атаки​

Ниже — разумный защитный сценарий, построенный строго на подтверждённых характеристиках уязвимости; он не является описанием наблюдаемой атаки.

1. Атакующий готовит HTML-страницу, активирующую состояние use after free в реализации FedCM в уязвимой версии Chromium.
   
2. Жертва — пользователь Debian-системы с уязвимой сборкой Chromium — открывает эту страницу. Типичные пути доставки: фишинговое письмо со ссылкой, скомпрометированный или вредоносный сайт, произвольный веб-контент, который жертва открывает в браузере.
   
3. При обработке страницы срабатывает обращение к освобождённой памяти. По описанию уязвимости это даёт атакующему выполнение произвольного кода вне песочницы браузера.
   
4. Код вне песочницы выполняется с привилегиями процесса браузера в контексте учётной записи пользователя. Дальнейшие действия (закрепление в системе, перемещение по сети, доступ к данным) находятся за пределами того, что утверждено источниками, — это уже постэксплуатация, а не свойство самой уязвимости.
   

Ключевые условия, вытекающие из вектора CVSS: атака удалённая (AV:N), не требует прав (PR:N), но требует, чтобы пользователь открыл вредоносную страницу (UI:R). Влияние оценивается как полное по конфиденциальности, целостности и доступности (C:H/I:H/A:H) с изменением области воздействия (S:C).

Есть ли публичный эксплойт​

В переданном пакете доказательств нет сведений о публичном эксплойте, PoC или техническом разборе CVE-2026-103630. Различим три категории:

• PoC (доказательство концепции): наличие общедоступного PoC не подтверждено;
  
• Техническое описание: доступно только официальное описание уязвимости (use after free в FedCM, выполнение кода вне песочницы через crafted HTML page) и запись в Chromium issue tracker (issues.chromium.org/issues/557323166); деталей примитива эксплуатации в них нет;
  
• Подтверждённая эксплуатация: сведений об использовании в реальных атаках нет; в каталоге CISA KEV уязвимость не значится.
  

Принципиально: отсутствие публичного эксплойта в доступных данных не означает, что эксплойта не существует. Для критических браузерных уязвимостей с влиянием вне песочницы следует исходить из того, что технически подкованные атакующие могут разработать эксплойт независимо от публикации PoC. EPSS 0,22% отражает текущую, а не будущую вероятность эксплуатации.

Признаки эксплуатации​

Специфичных индикаторов компрометации (IOC) для CVE-2026-103630 в переданных источниках нет: ни хешей эксплойта, ни URL доставки, ни характерных сетевых сигнатур не опубликовано. Отсутствие опубликованных IOC не означает отсутствия эксплуатации в реальности — это ограничение доступных данных.

Пока специфичных индикаторов нет, разумно опираться на общие, неспецифичные точки контроля:

• журналы веб-шлюза/прокси на предмет обращений к подозрительным доменам и страницам с интенсивной работой FedCM-эндпоинтов;
  
• аномальное поведение процесса браузера: неожиданные дочерние процессы, попытки записи исполняемых файлов, подключения к незнакомым адресам;
  
• события EDR, характерные для выхода кода за границы песочницы браузера (создание процессов браузером вне типичного шаблона).
  

Всё перечисленное — универсальные признаки, применимые к широкому классу браузерных атак; связать их именно с CVE-2026-103630 по содержимому источников невозможно.

Как обнаружить атаку​

Специфичных правил и сигнатур обнаружения именно этой уязвимости в переданных источниках нет. Проверку можно строить по двум направлениям: наличие уязвимой версии и косвенные признаки целевой доставки.

Проверка уязвимой версии на хосте:

• сравните версию пакета chromium с границей 154.0.8037.97 (см. раздел проверки версии);
  
• сверьте статус своего релиза в Debian Security Tracker.
  

Общие (неспецифичные) точки контроля, которые не подтверждают эксплуатацию CVE-2026-103630, но полезны в комплексе:

• журналы прокси/шлюза: обращения к подозрительным или недавно зарегистрированным доменам, аномальные всплески трафика от рабочих станций;
  
• EDR/антивирус: создание дочерних процессов браузером, запись исполняемых файлов в пользовательские каталоги, нетипичные сетевые подключения от процесса chromium;
  
• журналы самой системы: неожиданные изменения автозапуска, изменения в ~/.config, новые cron-задания и systemd-юниты пользователя.
  

Ни один из перечисленных признаков не является индикатором именно этой уязвимости. Они типичны для широкого класса атак через браузер и должны рассматриваться как повод для анализа, а не как подтверждение компрометации по CVE-2026-103630.

Как проверить свою версию​

Команды ниже безопасны: они только читают версию ОС и пакета, ничего не изменяя.

Проверка выпуска Debian:

bash
cat /etc/debian_version
cat /etc/os-release

Проверка версии и доступных версий пакета chromium:

bash
apt-cache policy chromium
dpkg-query -W -f='${Package} ${Version}\n' chromium

Интерпретация результата: если `dpkg-query` показывает версию ниже `154.0.8037.97` (например, `150.0.7871.100-1~deb12u1` или `154.0.8037.92-1~deb12u1`), установленная сборка попадает в уязвимый диапазон. Учитывайте, что на момент подготовки материала исправленная версия в Debian ещё не опубликована, поэтому совпадение с уязвимым диапазоном ожидаемо для всех текущих репозиториев.

## Исправление

Полноценное исправление — обновление пакета `chromium` до версии, содержащей патч для CVE-2026-103630 (соответствующей Chrome `154.0.8037.97` или новее).

На момент подготовки материала, по данным Debian Security Tracker, исправленная версия для пакета `chromium` ещё не назначена ни в одном релизе (`fixed_version: null`, статус `open`, `urgency: not yet assigned`). Стандартная процедура обновления пока не закроет уязвимость, поэтому администратору следует:

- отслеживать запись CVE-2026-103630 в Debian Security Tracker до появления исправленной версии;
- следить за анонсами в списках рассылки debian-security-announce и за обновлениями репозиториев `bookworm-security` и `trixie-security`;
- после публикации исправления выполнить штатное обновление: `apt update && apt upgrade chromium` (или точечно `apt install chromium`).

Поскольку Chromium тесно связан с безопасностью всей системы, обновление следует применить ко всем хостам с графической средой и браузером, включая терминальные серверы и рабочие станции разработчиков. Сведения о том, когда именно выйдет исправленный пакет и каким будет его номер, в доступных источниках отсутствуют — прогнозировать дату некорректно.

## Временные меры защиты

Поскольку исправленный пакет в Debian ещё не выпущен, временные меры направлены на снижение вероятности доставки вредоносной страницы в браузер. Это компенсирующие меры, а не устранение уязвимости:

- ограничить веб-серфинг на уязвимых хостах доверенным набором сайтов через прокси или DNS-фильтрацию;
- усилить фильтрацию почты и ссылок, чтобы сократить доставку фишинговых URL — основной путь доставки crafted HTML page;
- по возможности использовать альтернативный, не затронутый браузер для посещения недоверенных сайтов (с оговоркой: затронутость других браузеров источниками не подтверждена и требует отдельной проверки);
- запускать Chromium под отдельным непривилегированным аккаунтом или в изолированном окружении (контейнер/виртуальная машина), чтобы ограничить последствия выполнения кода вне песочницы браузера;
- отключить или ограничить использование FedCM, если это поддерживается политиками браузера и не нарушает бизнес-процессы — эффект такой меры для данной уязвимости источниками не подтверждён и должен проверяться самостоятельно.

Ни одна из этих мер не заменяет обновление: как только исправленный пакет появится в security-репозитории, его нужно установить.

## Как проверить устранение уязвимости

После того как Debian опубликует исправленную версию пакета, проверка выполняется в два шага.

Сначала убедитесь, что обновление действительно установлено:

bash
apt-cache policy chromium
dpkg-query -W -f='${Package} ${Version}\n' chromium

Затем сверьте выведенную версию с номером исправленной сборки из анонса Debian Security Advisory (он будет указан в записи трекера и в списке рассылки). Критерий успеха: версия пакета не ниже исправленной, а запись CVE-2026-103630 в Debian Security Tracker для вашего релиза меняет статус с open на fixed.

Дополнительно можно убедиться, что в кэше APT нет «зависших» отложенных обновлений:

bash
apt list --upgradable 2>/dev/null | grep chromium

Пустой вывод по chromium после публикации исправления означает, что пакет обновлён до актуальной версии репозитория.

Вывод​

CVE-2026-103630 — критическая (CVSS 3.1: 9.6) уязвимость use after free в FedCM в Chromium, позволяющая удалённому атакующему выполнить произвольный код вне песочницы через специально подготовленную HTML-страницу. Для Debian она актуальна вдвойне: затронут пакет chromium во всех отслеживаемых релизах, а исправленная версия пакета ещё не назначена — статус open и urgency: not yet assigned в Debian Security Tracker.

Практические выводы для администратора Debian:

• зафиксируйте текущее состояние: версия ОС (cat /etc/os-release) и версия пакета chromium (apt-cache policy chromium);
  
• следите за Debian Security Tracker и обновлениями bookworm-security / trixie-security — именно там появится исправленная сборка;
  
• до выхода исправления снижайте экспозицию: ограничение посещения недоверенных сайтов, изоляция браузера, сетевые фильтры;
  
• помните, что низкий текущий EPSS (0,22%) не гарантирует безопасности: для браузерных уязвимостей с удалённым вектором и влиянием вне песочницы риск может вырасти быстро.
  

Отсутствие публичного эксплойта и специфичных IOC в доступных источниках — констатация состояния данных, а не признак отсутствия риска. Обновление пакета сразу после выхода исправления остаётся основной и единственной надёжной мерой защиты.

Официальные источники​

1. NVD — CVE-2026-103630
   
2. Debian Security Tracker — CVE-2026-103630
   
3. FIRST EPSS — CVE-2026-103630
   

История обновлений статьи​

• 07.10.2026 — Опубликована первая версия материала.