CVE-2026-106323 в Debian: недостающая авторизация в Chromium, уязвимые версии и проверка статуса исправления

CVE: CVE-2026-106323
Продукт: Debian
Дата публикации: 06.10.2026
Критичность: CRITICAL
CVSS: 9.6 (3.1)
EPSS: 0,29%; процентиль 19,57%
CISA KEV: нет подтверждения в каталоге CISA KEV

Краткое описание​

CVE-2026-106323 — проблема отсутствующей авторизации (CWE-862) в Chrome for iOS в составе Google Chrome до версии 155.0.8059.39. По описанию удалённый злоумышленник при участии социальной инженерии мог через специально созданную HTML-страницу потенциально выполнить произвольный код вне песочницы.

Уровень опасности по классификации Chromium — High, оценка CVSS 3.1 — 9.6 (CRITICAL). В Debian уязвимость отслеживается для пакета chromium; по данным Debian Security Tracker, исправленная версия ещё не назначена ни для одного поддерживаемого релиза, поэтому материал сосредоточен на оценке риска и проверке статуса пакетов.

Основные характеристики​

Суть риска: в Chrome for iOS отсутствовала обязательная проверка авторизации, и при определённых условиях это могло привести к выполнению кода за пределами песочницы браузера. Для срабатывания требуется участие пользователя — вектор CVSS содержит UI:R, а описание прямо упоминает социальную инженерию.

Ключевые параметры:

• Тип ошибки: CWE-862 (Missing Authorization) — не выполняется проверка прав на чувствительную операцию.
  
• CVSS 3.1: 9.6, CRITICAL, вектор CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H — сетевая атака без привилегий, требующая взаимодействия пользователя, с влиянием на соседние компоненты и высоким воздействием на конфиденциальность, целостность и доступность.
  
• Условие атаки: удалённый вектор плюс социальная инженерия; без участия пользователя эксплуатация по описанию не реализуется.
  
• Порог уязвимости: Google Chrome до 155.0.8059.39 (проблема заявлена для Chrome on iOS).
  
• EPSS: 0,29% (процентиль 19,57%) — расчётная вероятность эксплуатации в ближайшие 30 дней низкая.
  
• CISA KEV: в переданных данных сведений о внесении в каталог нет.
  

Какие продукты и версии затронуты​

По данным NVD уязвим Google Chrome с версиями ниже границы 155.0.8059.39 (version_end_excluding). Описание относит проблему к Chrome on iOS; окружение iPhone OS в CPE-сопоставлении помечено как неуязвимый компонент.

В Debian затронутым пакетом значится chromium. Статус по релизам (Debian Security Tracker, статус «open», исправленная версия не назначена, срочность «not yet assigned»):

• bookworm: 150.0.7871.100-1~deb12u1, bookworm-security — 154.0.8037.92-1~deb12u1;
  
• trixie: 150.0.7871.181-1~deb13u1, trixie-security — 154.0.8037.92-1~deb13u1;
  
• forky: 154.0.8037.92-1;
  
• sid: 154.0.8037.92-1.
  

Все перечисленные версии ниже границы 155.0.8059.39 и формально попадают под порог уязвимости. При этом сама ошибка описана для Chrome on iOS, и степень её применимости к десктопному Chromium в Debian из доступных источников напрямую не следует — этот нюанс требует осторожной трактовки.

Причина уязвимости​

Классификация — CWE-862: Missing Authorization. В затронутых версиях Chrome for iOS не выполнялась обязательная проверка авторизации при обработке данных, поступающих через веб-контент. Конкретный программный компонент, интерфейс или последовательность вызовов, где пропущена проверка, в публичном описании не раскрыты — доступны только общая формулировка «missing authorization» и указание на специально созданную HTML-страницу как точку входа данных.

Следствие нарушенной проверки — потенциальное выполнение произвольного кода вне песочницы. Это означает, что дефект затрагивает не обычную изоляцию вкладки, а границу между рендерером и окружением браузера или системы; однако точная механика выхода за границу песочницы в источниках не описана.

Как работает атака​

Подтверждённая механика ограничена формулировкой из advisory: удалённый злоумышленник использует социальную инженерию, чтобы побудить пользователя открыть специально созданную HTML-страницу в уязвимой версии браузера. Обработка этой страницы задействует кодовый путь, где отсутствует проверка авторизации.

В результате нарушается контроль доступа, который должен был ограничивать операцию, и, по формулировке Google, атакующий «потенциально» получает возможность выполнить произвольный код вне песочницы. Слово «потенциально» указывает, что успешная эксплуатация не гарантирована и зависит от условий, которые публично не детализированы.

Детали пути данных внутри браузера, конкретные API и способ обхода изоляции в переданных материалах отсутствуют; строить предположения о них некорректно. Для администратора Debian важны параметры вектора: атака сетевая, привилегии не требуются, но требуется взаимодействие пользователя (UI:R), а влияние распространяется за пределы скомпрометированного контекста (S:C).

Условия успешной эксплуатации​

Из вектора CVSS и описания следуют такие условия:

• уязвимая версия браузера (для продуктов Google — до 155.0.8059.39);
  
• сетевая доступность вредоносного контента (AV:N), например страница под контролем атакующего;
  
• активное участие пользователя — открытие специально созданной HTML-страницы, достигнутое социальной инженерией (UI:R);
  
• отсутствие предварительных привилегий у атакующего (PR:N), то есть атака возможна против обычного пользователя без аутентификации.
  

Дополнительные внутренние условия (конфигурация, платформа, состояние браузера) в источниках не раскрыты.

Возможный сценарий атаки​

Разумный защитный сценарий, следующий из описания, выглядит так. Атакующий готовит HTML-страницу, активирующую уязвимый кодовый путь, и добивается её открытия жертвой — например, через фишинговое сообщение или ссылку на подконтрольном ресурсе. Это этап социальной инженерии, без которого, по описанию, атака не работает.

При обработке страницы уязвимой версией браузера отсутствующая проверка авторизации позволяет миновать контроль доступа, и атакующий потенциально получает выполнение кода вне песочницы — с большими возможностями, чем даёт компрометация отдельной вкладки.

Дальнейшие действия злоумышленника (закрепление, перемещение по системе) источниками не описаны; любые утверждения о них были бы домыслом. Для системы с пакетом chromium практический вывод — ограничить круг пользователей, которым доступен браузер, и следить за обновлениями безопасности.

Есть ли публичный эксплойт​

В переданных данных нет сведений о публичном PoC, техническом разборе с деталями эксплуатации или подтверждённых атаках в дикой природе. Отсутствие таких сведений не означает отсутствие эксплойта — оно означает лишь, что доступные официальные источники (NVD, Debian Security Tracker, EPSS) этого не фиксируют.

В каталоге CISA KEV запись для CVE-2026-106323 в переданном пакете отсутствует (kev: null). Низкий EPSS (0,29%) дополнительно указывает на отсутствие наблюдаемой массовой эксплуатации на момент оценки.

Признаки эксплуатации​

Специфичные IOC (хэши, домены, сигнатуры запросов) для этой уязвимости в источниках не опубликованы. Общие, неспецифичные точки контроля, применимые к любому браузерному вектору с социальной инженерией:

• журналы прокси/DNS на обращения к подозрительным или новым доменам, раздававшим HTML-страницы;
  
• аномальные дочерние процессы браузера chromium с необычными аргументами или правами;
  
• неожиданные сетевые соединения, инициированные процессами браузера после посещения пользователем внешних ссылок.
  

Совпадение с этими признаками не доказывает эксплуатацию именно CVE-2026-106323.

Как обнаружить атаку​

Прямых правил обнаружения для этой уязвимости в переданных материалах нет. Практический подход для Debian-инфраструктуры:

• сверить версии пакета chromium на хостах с границей 155.0.8059.39 и данными Debian Security Tracker;
  
• отслеживать страницу трекера Debian на изменение статуса с «open» на «fixed»;
  
• вести мониторинг процессов и сетевой активности браузера по общим точкам контроля, перечисленным в разделе IOC.
  

Поскольку уязвимость требует участия пользователя, полезен и аудит фишинговых инцидентов: жалобы на подозрительные ссылки в период до установки исправления — повод проверить соответствующие хосты.

Как проверить свою версию​

Проверка версии Debian и установленного Chromium:

cat /etc/debian_version
cat /etc/os-release
apt-cache policy chromium
dpkg-query -W -f='${Package} ${Version}\n' chromium

apt-cache policy chromium покажет установленную версию и доступных кандидатов по каждому подключённому репозиторию, включая security-архив. Сравните вывод с версиями из раздела «Какие продукты и версии затронуты»: если установленная версия ниже 155.0.8059.39 и в репозитории нет более новой, пакет пока остаётся в зоне наблюдения по трекеру Debian.

Исправление​

На момент подготовки материала Debian Security Tracker показывает статус «open» и отсутствие назначенной исправленной версии для всех релизов (bookworm, trixie, forky, sid), срочность — «not yet assigned». Готового исправления в репозиториях Debian нет, и конкретный номер исправленного пакета назвать нельзя.

Рекомендации:

• регулярно проверять трекер Debian на появление исправленной версии;
  
• после её публикации выполнить apt update && apt upgrade chromium в соответствующем релизе;
  
• следить за анонсами debian-security-announce, где выход обновления будет объявлен официально.
  

Пока исправления нет, обновление до максимально доступной версии из security-репозитория снижает экспозицию к другим, уже исправленным проблемам, но не закрывает CVE-2026-106323.

Временные меры защиты​

Подтверждённых производителем обходных мер в переданных данных нет. Разумные временные ограничения, следующие из условий эксплуатации (социальная инженерия плюс веб-контент):

• ограничить использование chromium на серверах и рабочих станциях с повышенными привилегиями;
  
• предупредить пользователей о непроверенных ссылках и страницах — атака по описанию требует участия жертвы;
  
• применять веб-фильтрацию и блокировку доступа к недоверенным ресурсам с браузерных хостов;
  
• запускать браузер от непривилегированного пользователя без доступа к критичным данным.
  

Это снижает поверхность риска, но не устраняет уязвимость.

Как проверить устранение уязвимости​

После выхода исправления проверка сводится к сверке версий:

dpkg-query -W -f='${Package} ${Version}\n' chromium
apt-cache policy chromium

Убедитесь, что установленная версия не ниже той, которую Debian объявит исправленной в анонсе (на момент подготовки статьи она не определена). Дополнительно проверьте, что статус записи в трекере Debian сменился с «open» на «fixed» для вашего релиза. Повторный запуск apt-cache policy chromium подтверждает, что кандидат на установку приходит из security-репозитория.

Вывод​

CVE-2026-106323 — критичная по оценке CVSS (9.6) проблема отсутствующей авторизации в Chrome for iOS с потенциальным выполнением кода вне песочницы, требующая социальной инженерии. Для Debian она отслеживается через пакет chromium, но исправленная версия ещё не назначена ни для одного релиза.

Применимость iOS-специфичной ошибки к десктопному Chromium прямо не подтверждена источниками, поэтому оценку риска стоит вести с этой оговоркой. Практический план: контролировать трекер Debian, держать пакет на максимально доступной версии, ограничивать использование браузера и подготовить процедуру быстрой установки обновления после его публикации.

Официальные источники​

1. NVD — CVE-2026-106323
   
2. Debian Security Tracker — CVE-2026-106323
   
3. FIRST EPSS — CVE-2026-106323
   

История обновлений статьи​

• 08.10.2026 — Опубликована первая версия материала.