CVE-2026-106016 в Ubuntu: обход мер защиты в компоненте File Handling Firefox и затронутые пакеты дистрибутива

CVE: CVE-2026-106016
Продукт: Ubuntu
Дата публикации: 06.10.2026
Критичность: CRITICAL
CVSS: 9.8 (3.1)
EPSS: 0,32%; процентиль 22,60%
CISA KEV: нет подтверждения в каталоге CISA KEV

Краткое описание​

CVE-2026-106016 — обход мер защиты (mitigation bypass, CWE-693) в компоненте File Handling браузера Firefox. Уязвимость исправлена в версии 157.0.1.

В Ubuntu уязвимость отслеживается в записи UBUNTU-CVE-2026-106016 со средним уровнем критичности. В перечень затронутых входят исходные пакеты mozjs38, mozjs52, mozjs68, mozjs78, mozjs91, mozjs102, mozjs115 и thunderbird в релизах 18.04 LTS, 20.04 LTS, 22.04 LTS и 24.04 LTS.

Статья объясняет суть ошибки, статус в Ubuntu и порядок проверки и обновления пакетов.

Основные характеристики​

Суть риска: ошибка позволяет обойти одну из мер защиты в компоненте File Handling Firefox. Это не переполнение памяти и не удалённое выполнение кода само по себе — ослабляется граница доверия, которую компонент обязан соблюдать при обработке файлов, что может усиливать последствия других действий злоумышленника.

Ключевые параметры:

• Тип ошибки: CWE-693 — Protection Mechanism Failure (обход механизма защиты).
  
• Затронутый продукт: Mozilla Firefox, все версии до 157.0.1 включительно.
  
• CVSS 3.1: 9.8, критический уровень, вектор CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H (оценка NVD; Ubuntu присвоил своей записи уровень medium).
  
• Исправление: Firefox 157.0.1, консультативный бюллетень MFSA 2026-104.
  
• EPSS: 0,317% (процентиль 22,60%) — статистическая вероятность эксплуатации в ближайшие 30 дней пока низкая.
  
• CISA KEV: подтверждений включения в каталог KEV в доступных данных нет.
  

Какие продукты и версии затронуты​

По данным NVD, уязвим Mozilla Firefox всех версий до 157.0.1 (критерий cpe:2.3:a:mozilla:firefox:*:*:*:*:*:*:*:*, версия ниже 157.0.1).

В Ubuntu запись UBUNTU-CVE-2026-106016 (опубликована 07.10.2026) перечисляет затронутые исходные и бинарные пакеты:

• Ubuntu 18.04 LTS: mozjs52 (бинарный libmozjs-52-0 52.9.1-0ubuntu0.18.04.1), mozjs38 (бинарный libmozjs-38-0 38.8.0~repack1-0ubuntu4).
  
• Ubuntu 20.04 LTS: mozjs68 (бинарный libmozjs-68-0 68.6.0-1ubuntu1), mozjs52 (бинарный libmozjs-52-0 52.9.1-1ubuntu3).
  
• Ubuntu 22.04 LTS: mozjs102 (libmozjs-102-0 102.15.1-0ubuntu0.22.04.1), mozjs78 (libmozjs-78-0 78.15.0-4ubuntu1), mozjs91 (libmozjs-91-0 91.10.0-0ubuntu1), а также thunderbird 1:140.7.1+build1-0ubuntu0.22.04.1 с бинарными пакетами thunderbird, thunderbird-gnome-support, thunderbird-mozsymbols, xul-ext-calendar-timezones, xul-ext-gdata-provider, xul-ext-lightning.
  
• Ubuntu 24.04 LTS: mozjs102 (libmozjs-102-0t64 102.15.1-3ubuntu2), mozjs115 (libmozjs-115-0t64 115.10.0-1).
  

Для перечисленных записей поле availability в данных Ubuntu не заполнено, поэтому наличие исправленных версий пакетов в репозиториях конкретного релиза по доступным источникам подтвердить нельзя — это следует проверять через apt и страницу Ubuntu Security.

Причина уязвимости​

Ошибка классифицирована как CWE-693 (protection mechanism failure): компонент File Handling Firefox не обеспечил корректное применение одной из встроенных мер защиты. Описание в записи CVE намеренно краткое — «Mitigation bypass in the File Handling component» — и не раскрывает, какая именно проверка была нарушена, как устроен путь данных до компонента и какие условия необходимы для обхода.

Технические детали доступны в Bugzilla (запись 2067465, доступ помечен как требующий разрешений), поэтому в открытых источниках они не опубликованы. Утверждать что-либо сверх этого — например, о конкретной границе доверия или последовательности вызовов — оснований в переданных данных нет.

Как работает атака​

Подтверждённая механика ограничивается тем, что уязвимость позволяет обойти меру защиты в компоненте File Handling Firefox. Компонент отвечает за обработку файлов, и обход его проверок означает, что ограничение, которое браузер должен был соблюдать при определённых операциях с файлами, перестаёт действовать.

Детальный путь данных — как входные данные достигают уязвимой проверки и что именно становится возможным после обхода — в публичном описании CVE не раскрыт. Bugzilla-запись 2067465 помечена тегом «Permissions Required», то есть техническая информация ограничена.

Вектор CVSS (AV:N/AC:L/PR:N/UI:N) указывает на сетевую доступность, низкую сложность эксплуатации и отсутствие требуемых привилегий и взаимодействия с пользователем. Однако это формальная оценка NVD, а не описание конкретного сценария.

Различать нужно три вещи: сама ошибка (обход защиты), её потенциальные последствия (высокие C/I/A по оценке CVSS) и подтверждённую эксплуатацию — о последней данных нет.

Условия успешной эксплуатации​

Точные условия эксплуатации в доступных источниках не описаны. Формально по CVSS-вектору CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H оценка предполагает:

• сетевую досягаемость вектора атаки;
  
• низкую сложность эксплуатации;
  
• отсутствие требуемых привилегий и прав доступа;
  
• отсутствие необходимости во взаимодействии пользователя.
  

Это оценка серьёзности, а не подтверждённый перечень предпосылок. Какие версии Firefox, какие настройки или какие действия пользователя реально необходимы для обхода защиты — не раскрыто; этот пробел следует учитывать при планировании защиты.

Возможный сценарий атаки​

Подтверждённого сценария атаки в источниках нет. Разумный защитный вывод строится только на классе ошибки: злоумышленник, способный довести до уязвимого компонента File Handling специально подготовленные данные, может добиться того, что мера защиты, ограничивающая операции с файлами, не сработает. Что именно становится возможным после обхода (чтение, запись, запуск или иные операции) — не установлено.

Практический вывод для администратора Ubuntu: риск существует там, где установлен затронутый Firefox или зависимые от движка SpiderMonkey пакеты, а также Thunderbird в 22.04 LTS. До установки исправлений стоит исходить из того, что обход защиты может быть объединён с другими техниками, и не полагаться на обходимые ограничения как на границу безопасности.

Есть ли публичный эксплойт​

В переданных данных нет сведений о публичном PoC, техническом разборе с воспроизводимыми шагами или подтверждённых атаках в дикой природе. Отсутствие таких сведений не означает отсутствие эксплойта: Bugzilla-запись ограничена доступом, что типично для свежих ошибок Mozilla.

EPSS 0,317% (процентиль 22,60%) указывает на низкую наблюдаемую вероятность эксплуатации. Каталог CISA KEV в доступных данных не упоминается.

Статус следует перепроверять по официальным бюллетеням Mozilla и странице Ubuntu.

Признаки эксплуатации​

Специфичные IOC (хэши, URL, имена файлов, сетевые сигнатуры) для CVE-2026-106016 в доступных источниках не опубликованы. Предлагаемые ниже точки контроля являются неспецифичными и полезны для общей гигиены, а не для точной идентификации именно этой уязвимости:

• журналы запуска и обновления Firefox и Thunderbird на хостах Ubuntu;
  
• события доступа к файлам от процессов браузера, если на хостах включён аудит файловых операций;
  
• журналы пакетного менеджера apt/dpkg для отслеживания версий и времени обновления затронутых пакетов.
  

Как обнаружить атаку​

Обнаружение сводится к инвентаризации: определить, установлены ли в системе затронутые пакеты и в каких версиях. Специфичных сигнатур эксплуатации в источниках нет, поэтому сетевые или поведенческие правила для этой ошибки предложить нельзя.

Рекомендуемые шаги:

• проверить версию Firefox, если он установлен из пакетов Ubuntu;
  
• проверить наличие бинарных пакетов libmozjs-* и thunderbird;
  
• сверить статус пакетов с записью UBUNTU-CVE-2026-106016 на ubuntu.com/security.
  

Для проверки версии релиза и пакетов подойдёт блок команд из следующего раздела.

Как проверить свою версию​

Команды ниже показывают версию Ubuntu, ядро и статус затронутых пакетов. Заполнитель <имя-пакета> нужно заменить на реальное имя, например thunderbird, libmozjs-102-0 или libmozjs-115-0t64.

cat /etc/os-release
uname -r
apt-cache policy <имя-пакета>
ubuntu-security-status

Команда apt-cache policy покажет установленную и доступную версии пакета, а ubuntu-security-status — сводку по безопасности установленных пакетов.

Исправление​

В апстриме уязвимость исправлена в Firefox 157.0.1 (бюллетень MFSA 2026-104). Для Ubuntu порядок действий стандартный:

• обновить индексы пакетов и установить доступные обновления для затронутых пакетов (thunderbird, libmozjs-*) через apt;
  
• если Firefox установлен не из репозитория Ubuntu, обновить его до 157.0.1 или новее по каналу поставки;
  
• после обновления перезапустить Firefox и Thunderbird, чтобы старые версии библиотек не остались в памяти процессов.
  

Наличие исправленных версий именно для вашего релиза Ubuntu следует проверить через apt-cache policy и страницу Ubuntu Security, поскольку в данных OSV поле availability не заполнено.

Временные меры защиты​

Временных мер, подтверждённых источниками, для CVE-2026-106016 не опубликовано. Разумные, но не подтверждённые производителем шаги снижения риска:

• ограничить или временно приостановить использование затронутых версий Firefox там, где это возможно;
  
• не полагаться на ограничения компонента File Handling как на границу безопасности до установки исправлений;
  
• следить за обновлениями записи UBUNTU-CVE-2026-106016 — Ubuntu может опубликовать исправленные пакеты или рекомендации.
  

Эти меры не устраняют уязвимость и являются лишь компенсирующим снижением риска.

Как проверить устранение уязвимости​

После обновления убедитесь, что установлены версии без уязвимости:

• версия Firefox должна быть 157.0.1 или новее;
  
• версии пакетов thunderbird и libmozjs-* должны соответствовать исправленным сборкам из репозитория вашего релиза;
  
• ubuntu-security-status не должен помечать затронутые пакеты как уязвимые.
  

apt-cache policy <имя-пакета>
ubuntu-security-status

Замените <имя-пакета> на фактические имена установленных затронутых пакетов. Дополнительно проверьте, что процессы Firefox и Thunderbird перезапущены после обновления.

Вывод​

CVE-2026-106016 — обход меры защиты в компоненте File Handling Firefox, исправленный в 157.0.1. Оценка NVD (CVSS 9.8, критический) контрастирует с уровнем medium в записи Ubuntu: это отражает различия в оценке воздействия на дистрибутивные пакеты.

В Ubuntu затронуты пакеты mozjs и thunderbird в четырёх LTS-релизах. Наличие исправленных сборок нужно проверять самостоятельно через apt и страницу Ubuntu Security.

Технические детали ограничены, специфичных IOC нет. Основная защитная стратегия — своевременная установка обновлений и контроль версий пакетов.

Официальные источники​

1. NVD — CVE-2026-106016
   
2. Ubuntu OSV — CVE-2026-106016
   
3. FIRST EPSS — CVE-2026-106016
   

История обновлений статьи​

• 09.10.2026 — Опубликована первая версия материала.