CVE-2026-106329 в Debian: некорректная авторизация в FileSystem Chromium, уязвимые версии и защита

CVE: CVE-2026-106329
Продукт: Debian
Дата публикации: 06.10.2026
Критичность: CRITICAL
CVSS: 9.6 (3.1)
EPSS: 0,31%; процентиль 22,34%
CISA KEV: нет подтверждения в каталоге CISA KEV

Краткое описание​

CVE-2026-106329 — ошибка некорректной авторизации (CWE-863) в компоненте FileSystem браузера Google Chrome/Chromium версий до 155.0.8059.39. Удалённый злоумышленник при участии жертвы (социальная инженерия) может через специально созданную HTML-страницу потенциально выполнить произвольный код вне песочницы. В Debian затронут пакет chromium: исправление ещё не выпущено, статус в Debian Security Tracker — open для bookworm, trixie, forky и sid.

Основные характеристики​

Суть риска: браузер неправильно проверяет права доступа в подсистеме FileSystem, и специально подготовленная веб-страница при участии пользователя может привести к выполнению кода за пределами песочницы рендеринга — это резко повышает последствия компрометации.

Ключевые параметры:

• Тип ошибки: CWE-863 — incorrect authorization (некорректная проверка авторизации) в компоненте FileSystem.
  
• CVSS 3.1: 9.6, категория CRITICAL, вектор CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H — атака по сети, без привилегий, но требует действия пользователя; влияние распространяется на другие компоненты (Scope: Changed).
  
• Chromium severity: High по классификации проекта Chromium.
  
• Условие атаки: социальная инженерия — жертва должна открыть специально созданную HTML-страницу.
  
• EPSS: 0,31% (процентиль 22,34%) — оценка вероятности эксплуатации в ближайшие 30 дней низкая.
  
• CISA KEV: подтверждения внесения в каталог известных эксплуатируемых уязвимостей нет.
  
• Статус в Debian: исправление не назначено (fixed_version: null), статус open во всех поддерживаемых ветках.
  

Какие продукты и версии затронуты​

Затронуты:

• Google Chrome — все версии ниже 155.0.8059.39 (по данным NVD: version_end_excluding: 155.0.8059.39).
  
• Debian, пакет chromium:
  
• bookworm: в репозитории bookworm — 150.0.7871.100-1~deb12u1, в bookworm-security — 154.0.8037.92-1~deb12u1;
  
• trixie: в репозитории trixie — 150.0.7871.181-1~deb13u1, в trixie-security — 154.0.8037.92-1~deb13u1;
  
• forky: 154.0.8037.92-1;
  
• sid: 154.0.8037.92-1.
  

Все перечисленные версии ниже 155.0.8059.39, а исправленная версия в Debian Security Tracker не указана (fixed_version: null, urgency «not yet assigned»). На момент подготовки материала уязвимые сборки присутствуют в актуальных репозиториях Debian, включая security-зеркала.

Причина уязвимости​

Причина — нарушение проверки авторизации (CWE-863) в компоненте FileSystem браузера. Описание из официальных источников фиксирует сам факт некорректной авторизации, но не раскрывает внутреннюю механику: какой именно вызов API файловой системы пропускает проверку прав и на каком этапе обработки запроса возникает ошибка. Детали пути данных до уязвимого кода в доступных источниках не опубликованы.

Ключевой аспект последствия: код выполняется вне песочницы (outside the sandbox). Песочница рендеринга — основной барьер, ограничивающий ущерб от компрометации веб-контента; её обход означает, что ошибка затрагивает границу доверия между процессом рендеринга и привилегированной частью браузера.

Как работает атака​

По официальному описанию, атака начинается со специально созданной HTML-страницы. Злоумышленник должен побудить жертву открыть такую страницу, то есть вектор строится на социальной инженерии: ссылка в письме, сообщении или на сайте.

Далее некорректная авторизация в FileSystem позволяет странице действовать так, как будто требуемая проверка прав пройдена. Точная последовательность вызовов, приводящая к нарушению, в источниках не раскрыта — можно утверждать только, что ошибка находится на уровне проверки доступа компонента FileSystem, а не в разборе содержимого страницы.

Результат — потенциальное выполнение произвольного кода вне песочницы. Слово «потенциально» в описании означает, что успешная эксплуатация зависит от условий на стороне жертвы; подтверждённых данных о надёжности или цепочке обхода других защит источники не содержат.

Условия успешной эксплуатации​

Подтверждённые условия по вектору CVSS и описанию:

• Сетевая доступность (AV:N): вредоносная страница размещается удалённо, локальный доступ не нужен.
  
• Низкая сложность (AC:L): специальных нестандартных условий эксплуатации не требуется.
  
• Отсутствие привилегий (PR:N): предварительная аутентификация жертвы не требуется.
  
• Взаимодействие пользователя (UI:R): жертва обязана открыть вредоносную страницу — без действия пользователя атака не срабатывает.
  
• Уязвимая версия браузера: Chrome/Chromium ниже 155.0.8059.39.
  

Дополнительные условия (конкретные настройки ОС, профиль, расширения) источниками не уточняются.

Возможный сценарий атаки​

Разумный сценарий, следующий из подтверждённых фактов: злоумышленник готовит HTML-страницу, задействующую уязвимую логику авторизации FileSystem, и распространяет ссылку на неё — например, через фишинговое письмо или сообщение. Жертва на системе Debian с уязвимым chromium открывает ссылку в браузере.

При открытии страницы некорректная проверка прав в FileSystem позволяет веб-контенту выйти за границы разрешённого. Если эксплуатация успешна, злоумышленник получает выполнение кода вне песочницы — с контекстом браузерного процесса, а не изолированного рендерера. Что именно доступно такому коду в конкретной конфигурации Debian, источники не описывают; это защитный вывод, а не подтверждённый факт.

Дальнейшие действия злоумышленника (закрепление, горизонтальное перемещение) — стандартное развитие компрометации, но никаких подтверждённых данных о реальных атаках в источниках нет.

Есть ли публичный эксплойт​

Сведений о публичном PoC, техническом описании работоспособного эксплойта или подтверждённой эксплуатации в реальных атаках в доступных источниках нет. Запись в CISA KEV отсутствует, EPSS низкий (0,31%).

Отсутствие публичных сведений не доказывает отсутствие эксплойта. Ошибка закрыта в Chrome 155.0.8059.39, а issue в трекере Chromium (issues.chromium.org/issues/562043997) помечен тегом «Permissions Required», что ограничивает публичную детализацию.

Статус следует периодически перепроверять.

Признаки эксплуатации​

Специфичные IOC для этой уязвимости в источниках не опубликованы: ни хешей, ни URL, ни характерных сетевых сигнатур. Пока доступны только неспецифичные точки контроля, применимые к браузерным атакам через социальную инженерию:

• журналы веб-шлюза/прокси на предмет обращений к подозрительным страницам, полученным по ссылке;
  
• телеметрия EDR на запуск дочерних процессов от браузера chromium/chrome — нетипичное поведение для рендеринга веб-контента;
  
• журналы доступа к файловой системе от имени браузерных процессов с нетипичными путями.
  

Ни одна из этих точек не является доказательством именно CVE-2026-106329.

Как обнаружить атаку​

Обнаружение строится на двух уровнях. Первый — инвентаризация: определить, установлены ли в системе пакеты chromium или google-chrome и попадает ли их версия в диапазон до 155.0.8059.39. Команды для этого приведены в разделе проверки версии.

Второй уровень — поведенческий мониторинг, поскольку специфичных сигнатур нет. Обращайте внимание на:

• нетипичные дочерние процессы, порождаемые браузером;
  
• обращения браузерных процессов к необычным путям файловой системы;
  
• корреляцию с фишинговыми письмами и ссылками, по которым переходили пользователи.
  

Сопоставление этих событий с конкретной уязвимостью без дополнительных данных невозможно — это общий контроль, а не детектор CVE-2026-106329.

Как проверить свою версию​

Проверьте версию ОС и установленного пакета chromium. В командах <имя-пакета> замените на chromium (или фактическое имя установленного пакета браузера):

cat /etc/debian_version
cat /etc/os-release
apt-cache policy chromium
dpkg-query -W -f='${Package} ${Version}\n' chromium

Вывод dpkg-query и apt-cache policy покажет установленную версию и доступные в репозиториях. Уязвимы сборки ниже 155.0.8059.39; на момент подготовки материала даже security-ветки Debian (например, 154.0.8037.92-1~deb12u1 в bookworm-security) содержат уязвимую версию.

Исправление​

Полноценное исправление — обновление браузера до версии 155.0.8059.39 или новее. В апстримном Google Chrome такая версия уже выпущена (обновление стабильного канала Chrome от октября 2026 года, см. блог Chrome Releases).

В Debian ситуация на момент подготовки материала иная: Debian Security Tracker показывает статус open и fixed_version: null для всех веток — bookworm, trixie, forky и sid, urgency «not yet assigned». Исправленный пакет в репозиториях Debian не подтверждён.

Рекомендуемые действия:

• регулярно обновляйте пакеты (apt update && apt upgrade) и следите за трекером Debian;
  
• при появлении исправленной версии в security-репозитории установите её в приоритетном порядке;
  
• если обновление критично, рассмотрите временный переход на апстримный Chrome 155.0.8059.39+ или другой браузер — это организационное решение, а не рекомендация из официальных источников Debian.
  

Временные меры защиты​

Пока исправленный пакет в Debian не выпущен, снизить риск можно организационными и конфигурационными мерами. Специфичных обходных путей для этой CVE источники не описывают, поэтому перечисленное — общие защитные меры против браузерных атак с социальной инженерией:

• ограничить веб-сёрфинг с доверенных рабочих станций, где используется chromium;
  
• предупредить пользователей о переходе по ссылкам из недоверенных источников — вектор атаки требует действия жертвы;
  
• применять фильтрацию веб-контента и блокировать известные фишинговые домены;
  
• ограничить привилегии пользователя, под которым запускается браузер, чтобы снизить последствия выхода кода из песочницы.
  

Полное отключение компонента FileSystem браузера как обходная мера в источниках не описана и не подтверждена.

Как проверить устранение уязвимости​

После выхода исправленного пакета проверка сводится к контролю версии. Выполните:

dpkg-query -W -f='${Package} ${Version}\n' chromium
apt-cache policy chromium

Убедитесь, что установленная версия не ниже 155.0.8059.39 (с учётом ревизии Debian). Дополнительно сверьтесь со страницей Debian Security Tracker: уязвимость считается закрытой, когда статус записи для вашего релиза перестанет быть open и появится fixed_version. До этого момента любая установленная версия из репозиториев Debian остаётся в диапазоне уязвимых.

Вывод​

CVE-2026-106329 — критическая (CVSS 9.6) ошибка некорректной авторизации в FileSystem Chrome/Chromium, позволяющая при участии жертвы потенциально выполнить код вне песочницы. Для Debian она особенно актуальна: исправленный пакет ещё не выпущен, статус open во всех поддерживаемых ветках, включая security-репозитории.

Низкий EPSS (0,31%) и отсутствие записи в KEV снижают срочность, но не отменяют риск: вектор атаки — обычная фишинговая ссылка, а обход песочницы резко увеличивает ущерб. Отслеживайте трекер Debian, обновляйте пакеты сразу после выхода исправления и до этого момента применяйте организационные меры против социальной инженерии.

Официальные источники​

1. NVD — CVE-2026-106329
   
2. Debian Security Tracker — CVE-2026-106329
   
3. FIRST EPSS — CVE-2026-106329
   

История обновлений статьи​

• 07.10.2026 — Опубликована первая версия материала.
  
• 08.10.2026 — Уточнены сведения об уязвимых версиях, оценке риска или исправлении.