CVE-2026-106372 в Debian: некорректная авторизация в Chromium и отсутствие исправленного пакета

CVE: CVE-2026-106372
Продукт: Debian
Дата публикации: 06.10.2026
Критичность: CRITICAL
CVSS: 9.6 (3.1)
EPSS: 0,31%; процентиль 22,34%
CISA KEV: нет подтверждения в каталоге CISA KEV

Краткое описание​

В Google Chrome до версии 155.0.8059.39 обнаружена ошибка некорректной авторизации в интерфейсе (CWE-863), которая, по заявлению производителя, потенциально позволяет удалённому злоумышленнику выполнить произвольный код вне песочницы через специально созданную HTML-страницу. Для Debian это уязвимость пакета chromium: по данным Debian Security Tracker, исправленная версия в дистрибутиве ещё не выпущена, статус по всем отслеживаемым релизам — открыт.

Основные характеристики​

Суть риска: страница в браузере может обойти проверку авторизации на уровне интерфейса и, по заявлению производителя, потенциально добиться выполнения кода за пределами песочницы — то есть выйти за рамки основной изоляции браузера. Ключевые параметры:

• Тип ошибки: CWE-863 — incorrect authorization (некорректная авторизация), затронут UI-слой браузера.
  
• CVSS 3.1: 9.6, категория CRITICAL, вектор CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H — атака по сети, без привилегий, требуется взаимодействие пользователя, изменение scope, высокие последствия для конфиденциальности, целостности и доступности.
  
• Оценка производителя: Chromium security severity — Medium, что заметно ниже формальной CVSS-оценки; расхождение стоит учитывать при приоритизации.
  
• EPSS: 0,314%, процентиль 22,34% — прогнозируемая вероятность эксплуатации в ближайшие 30 дней пока низкая.
  
• CISA KEV: подтверждений внесения в каталог KEV в доступных данных нет.
  
• Статус в Debian: исправление в дистрибутиве не выпущено, статус open для bookworm, trixie, forky и sid.
  

Какие продукты и версии затронуты​

Уязвимы следующие продукты и версии:

• Google Chrome — все версии ниже 155.0.8059.39 (граница version_end_excluding: 155.0.8059.39).
  
• Debian, пакет chromium — уязвимы текущие сборки во всех отслеживаемых релизах:
  
• bookworm: 150.0.7871.100-1~deb12u1 (основной репозиторий), 154.0.8037.92-1~deb12u1 (bookworm-security);
  
• trixie: 150.0.7871.181-1~deb13u1, 154.0.8037.92-1~deb13u1 (trixie-security);
  
• forky: 154.0.8037.92-1;
  
• sid: 154.0.8037.92-1.
  

Все перечисленные версии ниже исправленного апстримом порога 155.0.8059.39. Исправленная версия пакета в Debian (fixed_version) не назначена, срочность (urgency) — not yet assigned.

Причина уязвимости​

Причина — нарушение проверки авторизации в пользовательском интерфейсе браузера (классификация CWE-863, incorrect authorization). По официальному описанию, UI-компонент принимал решение об авторизации некорректно, что и открывает путь к обходу.

Конкретный компонент интерфейса, точный путь данных и характер нарушенной проверки в доступных официальных источниках (NVD, advisory Chromium, Debian Security Tracker) не раскрыты — публично описана только общая механика: crafted HTML-страница приводит к потенциальному выполнению кода вне песочницы. Детали баг-репорта Chromium (issues.chromium.org/issues/557288890) в переданном пакете доказательств не приведены.

Как работает атака​

Подтверждённая механика по описанию уязвимости такова: удалённый злоумышленник готовит специальную HTML-страницу и добивается её открытия в уязвимой версии браузера. Из-за некорректной авторизации на уровне UI проверка, которая должна была ограничить действие, выполняется неправильно, и содержимое страницы получает возможность, недоступную при корректной проверке.

Результат, заявленный производителем, — потенциальное выполнение произвольного кода вне песочницы (outside the sandbox). Песочница браузера — основной барьер между обработанным веб-контентом и операционной системой; выход за её пределы означает, что код потенциально действует с привилегиями процесса браузера, а не изолированного рендерера.

Вектор CVSS (UI:R, S:C) указывает, что для атаки требуется взаимодействие пользователя (например, открытие страницы) и что последствия могут распространяться за пределы уязвимой системы. Точные технические шаги от страницы до выхода из песочницы в открытых источниках не описаны.

Условия успешной эксплуатации​

Судя по вектору CVSS и описанию, для успешной атаки необходимы:

• уязвимая версия браузера (Chrome/Chromium ниже 155.0.8059.39, в Debian — пакет chromium без исправления);
  
• взаимодействие пользователя: атака по вектору UI:R предполагает, что жертва откроет подготовленную HTML-страницу (например, перейдёт по ссылке);
  
• отсутствие привилегий у злоумышленника не является барьером (PR:N), атака выполняется по сети (AV:N).
  

Дополнительные условия (конкретные настройки браузера, версии ОС, необходимость дополнительной цепочки уязвимостей) в официальных источниках не раскрыты.

Возможный сценарий атаки​

Разумная модель атаки, следующая из подтверждённых фактов, выглядит так. Злоумышленник размещает подготовленную HTML-страницу на контролируемом им ресурсе или внедряет ссылку на неё в легитимный сайт. Жертва на системе Debian с уязвимым пакетом chromium открывает страницу — например, по ссылке из письма или мессенджера.

При обработке страницы некорректная авторизация в UI-слое позволяет обойти проверку, которая должна была ограничить действие веб-контента. Как заявляет производитель, это потенциально ведёт к выполнению кода вне песочницы браузера.

Если выполнение кода за пределами песочницы состоялось, код действует с правами процесса браузера в системе пользователя — это уже не изолированный рендерер, а полноценный процесс в ОС. Конкретные дальнейшие действия злоумышленника в источниках не описаны. Производитель оценивает серьёзность как Medium, то есть практическая реализуемость полной цепочки может требовать дополнительных условий.

Есть ли публичный эксплойт​

Подтверждений наличия публичного PoC, технического описания с деталями эксплуатации или использования в реальных атаках в переданных источниках нет.

Каталог CISA KEV не содержит записи по этой уязвимости (в доступных данных поле KEV пусто), EPSS низкая — 0,314%.

Отсутствие сведений об эксплойте не означает его отсутствия: отчёт Chromium существует (issues.chromium.org/issues/557288890), но его содержимое в доказательствах не раскрыто. Вывод о доступности или недоступности рабочего эксплойта делать нельзя.

Признаки эксплуатации​

Специфичные индикаторы компрометации (IOC) для этой уязвимости в доступных источниках отсутствуют — ни хешей, ни URL, ни сетевых сигнатур не опубликовано. Пока доступны только неспецифичные точки контроля, применимые к любой браузерной атаке через веб-контент:

• журналы прокси/DNS: обращения к подозрительным или новым доменам, инициированные процессом браузера;
  
• процессы-потомки chromium, неожиданно запущенные вне типичного профиля запуска браузера;
  
• аномальная сетевая активность процесса chromium после посещения пользователем новых страниц;
  
• события EDR о попытках выхода процесса браузера за обычное поведение.
  

Эти признаки не являются подтверждёнными IOC именно для CVE-2026-106372.

Как обнаружить атаку​

Обнаружение строится на двух уровнях. Первый — инвентаризация версий: определить, какие хосты Debian используют уязвимые сборки пакета chromium (см. раздел проверки версии). Это основной надёжный способ, поскольку специфичных IOC нет.

Второй — общий мониторинг поведения браузера, неспецифичный для данной уязвимости:

• контроль запуска дочерних процессов от имени chromium с нетипичными аргументами или из нетипичных путей;
  
• анализ сетевых соединений процесса браузера на предмет обращений к нераспознанным инфраструктурам;
  
• корреляция с журналами веб-шлюза: страницы, предшествовавшие аномальной активности.
  

Подтверждённых правил детектирования или сигнатур именно под эту уязвимость в источниках не опубликовано.

Как проверить свою версию​

Проверить версию ОС и пакета chromium на системе Debian можно следующими командами:

bash
cat /etc/debian_version
cat /etc/os-release
apt-cache policy chromium
dpkg-query -W -f='${Package} ${Version}\n' chromium

В командах apt-cache policy и dpkg-query вместо chromium подставляйте фактическое имя проверяемого пакета, если в вашей среде он называется иначе.

Сверьте полученную версию с таблицей в разделе «Какие продукты и версии затронуты»: любая версия ниже исправленного апстримом порога 155.0.8059.39 считается уязвимой. На момент подготовки материала все опубликованные сборки Debian (вплоть до 154.0.8037.92-1~deb12u1 и аналогичных) уязвимы.

Исправление​

Апстрим-исправление выпущено: Google закрыл проблему в Chrome 155.0.8059.39, что зафиксировано в advisory стабильного канала Chrome for desktop за октябрь 2026 года. Откладывать обновление не стоит: заявленная возможность выхода за пределы песочницы — это компрометация основного барьера изоляции браузера, а в Debian исправленный пакет ещё не выпущен, и окно риска будет существовать до выхода обновления безопасности.

Для Debian ситуация на момент данных Debian Security Tracker такова:

• статус по пакету chromium — open во всех релизах (bookworm, trixie, forky, sid);
  
• исправленная версия (fixed_version) не назначена, срочность — not yet assigned;
  
• актуальные сборки в репозиториях (например, 154.0.8037.92-1~deb12u1 в bookworm-security) уязвимы.
  

Практические действия:

• отслеживать запись в Debian Security Tracker и выход обновления chromium в security-репозитории вашего релиза;
  
• после публикации обновления выполнить apt update && apt upgrade chromium (или установить пакет из security-репозитория);
  
• в качестве временной меры рассмотреть переход на другой браузер для работы с недоверенным веб-контентом (см. раздел временных мер).
  

Обновление до апстрим-версии 155.0.8059.39 или выше полностью устраняет проблему; в Debian это произойдёт с выходом соответствующего пакета.

Временные меры защиты​

Полноценной временной защиты, эквивалентной обновлению, из источников не следует. Разумные ограничительные меры, снижающие экспозицию:

• ограничить использование chromium для посещения недоверенных сайтов; по возможности использовать браузер с актуальной апстрим-версией 155.0.8059.39 или выше;
  
• ограничить сетевой доступ рабочих станций с уязвимым chromium до доверенных категорий сайтов через прокси/фильтрацию;
  
• усилить контроль запуска дочерних процессов и мониторинг поведения браузера средствами EDR;
  
• информировать пользователей о риске открытия ссылок из недоверенных источников, поскольку атака требует взаимодействия пользователя (UI:R).
  

Эти меры снижают вероятность, но не устраняют уязвимость.

Как проверить устранение уязвимости​

Проверка результата после выхода и установки исправления в Debian:

bash
apt-cache policy chromium
dpkg-query -W -f='${Package} ${Version}\n' chromium

Убедитесь, что:

• установленная версия пакета соответствует исправленной сборке, опубликованной в security-репозитории вашего релиза (следите за записью в Debian Security Tracker — на момент подготовки материала fixed_version ещё не назначена);
  
• версия апстрим-компонента не ниже 155.0.8059.39;
  
• обновление пришло именно из security-репозитория (bookworm-security, trixie-security и т.п.).
  

Дополнительно проверьте, что обновление применено на всех целевых хостах, а не только на эталонных.

Вывод​

CVE-2026-106372 — ошибка некорректной авторизации в UI Chrome/Chromium с заявленным производителем потенциальным выполнением кода вне песочницы. Апстрим-исправление в версии 155.0.8059.39 уже выпущено, однако в Debian пакет chromium остаётся уязвимым во всех поддерживаемых релизах, и исправленный пакет пока не опубликован.

Признаков активной эксплуатации и публичного эксплойта в доступных источниках нет, EPSS низкая. Тем не менее выход за пределы песочницы — слишком серьёзный класс риска, чтобы ждать роста показателей.

Отслеживайте Debian Security Tracker, применяйте обновление сразу после его выхода и до этого момента ограничивайте использование уязвимого браузера с недоверенным веб-контентом.

Официальные источники​

1. NVD — CVE-2026-106372
   
2. Debian Security Tracker — CVE-2026-106372
   
3. FIRST EPSS — CVE-2026-106372
   

История обновлений статьи​

• 08.10.2026 — Опубликована первая версия материала.