CVE-2026-106375 в Debian: уязвимость Dawn в Chromium, уязвимые версии и что делать администратору

CVE: CVE-2026-106375
Продукт: Debian
Дата публикации: 06.10.2026
Критичность: CRITICAL
CVSS: 9.6 (3.1)
EPSS: 0,36%; процентиль 27,21%
CISA KEV: нет подтверждения в каталоге CISA KEV

Краткое описание​

CVE-2026-106375 — неполная очистка ресурсов (Incomplete cleanup, CWE-459) в компоненте Dawn браузера Google Chrome до версии 155.0.8059.39. По описанию NVD удалённый злоумышленник может потенциально выполнить произвольный код вне песочницы через специально подготовленную HTML-страницу.

Для Debian это касается пакета chromium: по данным Debian Security Tracker исправленная версия ещё не выпущена ни для одного отслеживаемого релиза, статус уязвимости — open.

В статье разобрано практическое значение для администратора Debian, состояние пакетов в bookworm, trixie, forky и sid, а также доступные проверки и меры снижения риска.

Основные характеристики​

Суть риска: пользователь, открывший вредоносную HTML-страницу в уязвимой версии Chromium, может дать злоумышленнику шанс выполнить код за пределами песочницы браузера — то есть с большими привилегиями, чем у изолированного процесса рендеринга.

Ключевые параметры:

• Тип ошибки: CWE-459 — incomplete cleanup (неполная очистка ресурсов) в компоненте Dawn.
  
• CVSS 3.1: 9.6, CRITICAL, вектор CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H — атака по сети, без привилегий, требует взаимодействия с пользователем, влияние распространяется на соседние компоненты.
  
• Оценка Chromium: Medium — вендор классифицирует проблему как умеренную, что расходится с баллом CVSS; учитывайте обе оценки.
  
• EPSS: 0,36% (процентиль 27,2%) — прогнозируемая вероятность эксплуатации в ближайшие 30 дней низкая.
  
• CISA KEV: записи в каталоге нет.
  
• Статус в Debian: исправленная версия пакета chromium не назначена, уязвимость открыта во всех отслеживаемых релизах.
  

Какие продукты и версии затронуты​

Затронутые продукты по данным источников:

• Google Chrome — версии, предшествующие 155.0.8059.39.
  
• Debian, пакет chromium — уязвимость открыта для релизов:
  
• bookworm: репозиторий bookworm содержит 150.0.7871.100-1~deb12u1, bookworm-security — 154.0.8037.92-1~deb12u1;
  
• trixie: 150.0.7871.181-1~deb13u1, trixie-security — 154.0.8037.92-1~deb13u1;
  
• forky: 154.0.8037.92-1;
  
• sid: 154.0.8037.92-1.
  

Во всех перечисленных релизах fixed_version не назначен, срочность помечена как «not yet assigned». Даже актуальные версии пакета в репозиториях Debian предшествуют исправленной версии 155.0.8059.39. Другие продукты в пакете доказательств не упомянуты.

Причина уязвимости​

Причина — неполная очистка ресурсов (incomplete cleanup, CWE-459) в Dawn. Dawn — реализация WebGPU, используемая в Chromium; точное место ошибки внутри Dawn и конкретный путь данных до уязвимого кода в доступных источниках не раскрыты: описание NVD ограничивается общей формулировкой, а issue Chromium (issues.chromium.org/issues/536507840) помечен тегом «Permissions Required» и деталей не приводит.

Подтверждено только следствие: из-за незавершённой очистки состояния удалённый злоумышленник получает потенциальную возможность выполнить произвольный код вне песочницы браузера. Как именно нарушается освобождение ресурса — не подтверждено, поэтому здесь возможны только защитные выводы, а не описание механики.

Как работает атака​

По официальному описанию, вектор доставки — специально подготовленная HTML-страница: жертва должна открыть её в уязвимой версии браузера. Дальнейшая механика внутри Dawn источниками не детализирована.

Ключевой подтверждённый аспект — обход границы песочницы: код выполняется «вне песочницы» (outside the sandbox). В архитектуре Chromium процессы рендеринга работают в жёстко изолированной песочнице именно для того, чтобы уязвимость в обработке веб-контента не давала прямого контроля над системой.

Ошибка класса incomplete cleanup может оставить доступные объекты или состояние после того, как они должны были быть уничтожены, — и это потенциально даёт атакующему примитив за пределами изоляции.

Слово «потенциально» в описании NVD означает, что возможность выполнения кода заявлена как результат уязвимости, но подтверждённых данных о реальной эксплуатируемости нет. Детали превращения ошибки очистки в исполняемый код не раскрыты.

Условия успешной эксплуатации​

Подтверждённые и разумно выводимые условия:

• уязвимая версия браузера — Chrome/Chromium до 155.0.8059.39 (в Debian — пакет chromium с версией ниже исправленной);
  
• действие пользователя — открытие подготовленной HTML-страницы (вектор CVSS UI:R подтверждает требование взаимодействия);
  
• сетевая доступность вредоносного контента для жертвы (AV:N), привилегии для запуска атаки не требуются (PR:N).
  

Дополнительные условия (конкретная конфигурация, необходимость включённых API Dawn/WebGPU и т. п.) источниками не раскрыты.

Возможный сценарий атаки​

Разумный сценарий, опирающийся только на подтверждённые факты: злоумышленник размещает или рассылает ссылку на HTML-страницу, содержащую подготовленный контент, эксплуатирующий неполную очистку в Dawn. Пользователь Debian открывает страницу в уязвимом Chromium (например, 154.0.8037.92 из bookworm-security).

При успешной эксплуатации атакующий получает возможность выполнить код вне песочницы браузера — с большим объёмом прав, чем у изолированного рендерера. Что доступно атакующему дальше (перемещение по системе, доступ к данным пользователя), источниками не установлено; влияние по CVSS-вектору оценено как высокое по конфиденциальности, целостности и доступности (C:H/I:H/A:H), но это оценка, а не описание наблюдаемой атаки.

Подтверждённых случаев такой атаки в предоставленных данных нет.

Есть ли публичный эксплойт​

Сведений о публичном PoC, техническом разборе с деталями эксплуатации или подтверждённом использовании в реальных атаках в пакете доказательств нет. Отсутствие таких сведений не означает отсутствие эксплойта: issue Chromium остаётся с ограниченным доступом до завершения раскрытия. Низкий EPSS (0,36%) указывает лишь на низкую прогнозируемую вероятность эксплуатации, а не на её невозможность.

Признаки эксплуатации​

Специфичные IOC (хэши, домены, сигнатуры) для этой уязвимости в источниках не опубликованы. Доступны только неспецифичные точки контроля:

• журналы браузера и системы на предмет аварийных завершений процессов Chromium, особенно связанных с GPU/WebGPU;
  
• прокси/DNS-журналы на обращения пользователей к нехарактерным веб-ресурсам вокруг подозрительных сбоев;
  
• изменения в процессах, запущенных от имени пользователя после сессий работы с браузером.
  

Ни один из этих признаков не подтверждает эксплуатацию именно CVE-2026-106375.

Как обнаружить атаку​

Обнаружение строится на инвентаризации версий и общей телеметрии, поскольку специфичных сигнатур нет.

• Сверьте версии пакета chromium на хостах с исправленной версией 155.0.8059.39 (команды — в разделе проверки версии).
  
• Проверьте, включён ли WebGPU/Dawn в вашей среде и нужен ли он бизнес-процессам.
  
• Просмотрите журналы сбоев Chromium (/var/log, отчёты crashpad в профилях пользователей) на повторяющиеся падения при обработке веб-контента.
  
• Учитывайте, что вектор требует взаимодействия пользователя: фильтрация ссылок и обучение снижают вероятность доставки страницы.
  

Подтверждённой детекции именно этой уязвимости источники не описывают.

Как проверить свою версию​

Проверка версии ОС и пакета на Debian (замените <имя-пакета> на chromium):

cat /etc/debian_version
cat /etc/os-release
apt-cache policy chromium
dpkg-query -W -f='${Package} ${Version}\n' chromium

apt-cache policy chromium покажет установленную и доступную версии из репозиториев. Сравните результат с исправленной версией 155.0.8059.39: на момент данных Debian Security Tracker ни один репозиторий (bookworm, bookworm-security, trixie, trixie-security, forky, sid) её ещё не содержит.

Исправление​

Полноценное исправление — обновление Chromium до версии 155.0.8059.39 или новее. Для Debian на момент данных трекера исправленный пакет ещё не выпущен: статус open, fixed_version не назначен, срочность «not yet assigned».

Рекомендуемые действия администратора:

• отслеживайте Debian Security Tracker и обновления безопасности (apt update && apt upgrade) для пакета chromium;
  
• при появлении исправленной версии в bookworm-security или trixie-security установите её в приоритетном порядке;
  
• если Chromium в вашей среде не требуется, рассмотрите его удаление или ограничение использования до выхода исправления;
  
• ограничьте круг пользователей, которым разрешено запускать браузер на чувствительных хостах.
  

Сроки выпуска исправления Debian источниками не сообщаются.

Временные меры защиты​

Пока исправленный пакет недоступен, снизить поверхность атаки можно так:

• ограничить использование Chromium в организации, по возможности заменив его на другой браузер для работы с недоверенным контентом;
  
• запретить или отключить WebGPU/Dawn в политиках браузера, если он не нужен бизнес-процессам (влияние этого шага на конкретную уязвимость источниками не подтверждено — мера является разумной предосторожностью);
  
• фильтровать веб-контент и ссылки в почте, ограничивая доставку потенциально вредоносных HTML-страниц;
  
• запускать браузер от имени непривилегированного пользователя без доступа к критичным данным.
  

Эти меры не устраняют уязвимость, а лишь уменьшают вероятность и последствия её использования.

Как проверить устранение уязвимости​

После выхода исправленного пакета проверьте:

dpkg-query -W -f='${Package} ${Version}\n' chromium
apt-cache policy chromium

Установленная версия должна быть 155.0.8059.39 или выше. Дополнительно сверьтесь с Debian Security Tracker: запись для вашего релиза должна сменить статус open на fixed. Убедитесь, что обновление пришло именно из репозитория безопасности (bookworm-security/trixie-security), а не из обычного архива со старой версией.

Вывод​

CVE-2026-106375 — проблема неполной очистки в Dawn с потенциальным выполнением кода вне песочницы через вредоносную HTML-страницу. Для администраторов Debian ситуация осложняется тем, что исправленный пакет chromium ещё не выпущен ни для одного отслеживаемого релиза.

Расхождение оценок (CVSS 9.6 против Medium от Chromium) требует самостоятельной оценки риска с учётом вашей среды.

Практический минимум сейчас: инвентаризация версий, ограничение использования Chromium и недоверенного веб-контента, мониторинг трекера Debian и установка обновления сразу после его появления.

Официальные источники​

1. NVD — CVE-2026-106375
   
2. Debian Security Tracker — CVE-2026-106375
   
3. FIRST EPSS — CVE-2026-106375
   

История обновлений статьи​

• 07.10.2026 — Опубликована первая версия материала.
  
• 08.10.2026 — Уточнены сведения об уязвимых версиях, оценке риска или исправлении.