CVE-2026-106401 в Debian: запись за границей буфера в Media Chromium, уязвимые версии и защита

CVE: CVE-2026-106401
Продукт: Debian
Дата публикации: 06.10.2026
Критичность: CRITICAL
CVSS: 9.6 (3.1)
EPSS: нет данных; процентиль нет данных
CISA KEV: нет подтверждения в каталоге CISA KEV

Краткое описание​

CVE-2026-106401 — ошибка записи за границами буфера (CWE-787) в компоненте Media браузера Google Chrome до версии 155.0.8059.39. По описанию из NVD удалённый злоумышленник мог с помощью специально созданной HTML-страницы потенциально выполнить произвольный код вне песочницы.

В Debian уязвимость затрагивает исходный пакет chromium. По данным Debian Security Tracker исправленная версия для дистрибутива ещё не назначена, а статус уязвимости во всех поддерживаемых релизах — «open».

Статья описывает механику риска, состояние пакета в репозиториях Debian и практические шаги проверки и снижения риска.

Основные характеристики​

Суть риска: браузер обрабатывает медиаданные из веб-страниц, и ошибка записи за границей буфера в этом компоненте может нарушить целостность памяти процесса. По описанию уязвимости это потенциально позволяет коду выйти за пределы песочницы браузера — границы доверия, которая отделяет обработку недоверенного веб-контента от остальной системы.

Ключевые параметры:

• Тип ошибки: CWE-787 — out-of-bounds write (запись за границами буфера) в компоненте Media.
  
• CVSS 3.1: 9.6, вектор CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H, критический уровень. Вектор отражает сетевую атаку без привилегий, требующую действия пользователя и изменение области воздействия.
  
• Условие по вектору: требуется, чтобы пользователь открыл созданную злоумышленником HTML-страницу или взаимодействовал с ней (UI:R).
  
• Исправление в апстриме: Google Chrome 155.0.8059.39; в Debian исправленная версия пакета chromium на момент данных не назначена.
  
• Статус в NVD: Awaiting Analysis — запись ещё не прошла полный анализ NVD.
  
• EPSS: данные оценки EPSS отсутствуют; вероятность эксплуатации не подтверждена и не опровергнута.
  

Какие продукты и версии затронуты​

Уязвимость по описанию затрагивает Google Chrome до версии 155.0.8059.39 (компонент Media). В Debian соответствующий код поставляется в исходном пакете chromium.

По данным Debian Security Tracker состояние по релизам:

• bookworm: статус «open», исправление не назначено; в репозитории bookworm — 150.0.7871.100-1~deb12u1, в bookworm-security — 154.0.8037.92-1~deb12u1.
  
• trixie: статус «open», исправление не назначено; в репозитории trixie — 150.0.7871.181-1~deb13u1, в trixie-security — 154.0.8037.92-1~deb13u1.
  
• forky: статус «open», исправление не назначено; в репозитории — 154.0.8037.92-1.
  
• sid: статус «open», исправление не назначено; в репозитории — 154.0.8037.92-1.
  

Во всех перечисленных релизах срочность исправления указана как «not yet assigned». На момент выгрузки данных ни одна из текущих версий в репозиториях Debian не достигает апстримной исправленной версии 155.0.8059.39.

Причина уязвимости​

Причина — классическая ошибка памяти CWE-787: запись данных за границами выделенного буфера. Уязвимый код находится в компоненте Media, то есть в подсистеме, которая разбирает и обрабатывает медиаконтент, полученный с веб-страниц.

Граница доверия, которую нарушает ошибка, — это изоляция между обработчиком недоверенных данных из сети и остальной частью браузерного процесса и системы. Компонент Media получает данные, контролируемые веб-страницей; при некорректной проверке границ запись может затронуть смежные структуры памяти.

Точная кодовая причина (какая именно проверка отсутствовала или была некорректной) в доступных источниках не раскрыта: NVD находится в статусе «Awaiting Analysis», а публичное описание ограничивается типом ошибки и компонентом.

Как работает атака​

Подтверждённая механика по описанию уязвимости такова: удалённый злоумышленник готовит HTML-страницу, при обработке которой компонент Media браузера выполняет запись за границами буфера. Путь данных начинается с загрузки страницы: браузер получает разметку и связанные с ней медиаресурсы, передаёт их в подсистему Media, где данные разбираются без достаточной проверки границ.

Результат, указанный в описании, — потенциальное выполнение произвольного кода вне песочницы. Это ключевой момент с точки зрения границы доверия: песочница браузера намеренно ограничивает влияние компрометации рендер-процесса, и выход за её пределы означает переход от изолированного повреждения памяти к коду с более широкими правами в пределах процесса браузера.

Деталей — какой именно медиаформат, какой участок кода Media, какая последовательность примитивов приводит от записи за границей к исполнению кода — источники не раскрывают. Эти подробности не подтверждены, и строить предположения о конкретных шагах эксплуатации на их основе некорректно.

Отметим также расхождение оценок: Chromium классифицирует проблему как Medium, тогда как CVSS-оценка в NVD — 9.6 (Critical). Это разные методики оценки, и обе приведены в источниках.

Условия успешной эксплуатации​

Исходя из описания уязвимости и CVSS-вектора, для потенциальной эксплуатации требуются:

• Действие пользователя: вектор содержит UI:R — жертва должна открыть созданную злоумышленником HTML-страницу или взаимодействовать с ней.
  
• Сетевая доступность: вектор AV:N — атака выполняется удалённо, например через веб-страницу.
  
• Отсутствие привилегий: PR:N — учётные данные или права в системе жертве не требуются.
  
• Уязвимая версия браузера: Chrome до 155.0.8059.39 или соответствующая версия пакета chromium в Debian, не содержащая исправления.
  

Дополнительные условия (конкретный медиаконтент, конфигурация, аппаратные особенности) источниками не раскрыты.

Возможный сценарий атаки​

Разумная последовательность атаки, следующая из подтверждённого описания, выглядит так. Злоумышленник размещает или внедряет специально созданную HTML-страницу — например, на подконтрольном сайте или через ссылку в сообщении. Жертва с уязвимой версией браузера открывает эту страницу.

При обработке страницы компонент Media получает данные, контролируемые злоумышленником, и в уязвимом участке кода происходит запись за границами буфера. Если злоумышленнику удаётся превратить это повреждение памяти в выполнение кода, код выполняется вне песочницы, как указано в описании уязвимости.

Дальнейшие действия после выхода за песочницу источниками не описаны. Разумный защитный вывод: компрометация на этом уровне даёт доступ в рамках прав процесса браузера и учётной записи пользователя, поэтому последствия следует оценивать как потенциально высокие (вектор указывает C:H/I:H/A:H), однако конкретные сценарии постэксплуатации не подтверждены.

Есть ли публичный эксплойт​

Сведений о публичном PoC, техническом разборе с деталями эксплуатации или подтверждённых атаках в дикой природе в переданном пакете доказательств нет. NVD находится в статусе «Awaiting Analysis», данные EPSS и CISA KEV отсутствуют.

Отсутствие таких сведений не означает, что эксплойт невозможен или не появится: ошибка памяти в браузере традиционно привлекательна для исследователей. Статус следует периодически перепроверять по официальным источникам — записи NVD и трекеру Debian.

Признаки эксплуатации​

Специфичных индикаторов компрометации (IOC) для этой уязвимости источники не предоставляют: ни хэшей, ни доменов, ни характерных шаблонов в логах. Выдумывать их нельзя.

Для мониторинга можно опираться только на неспецифичные точки контроля, применимые к любым атакам через браузер:

• журналы прокси/шлюза на обращения к подозрительным страницам, предшествующие аномальной активности на хосте;
  
• аномальное поведение процесса браузера: неожиданные дочерние процессы, попытки сетевых подключений из браузерного процесса, падения (crash-дампы) chromium;
  
• события EDR/антивируса, связанные с исполнением кода из процесса браузера.
  

Эти признаки не являются подтверждёнными IOC именно для CVE-2026-106401 и служат лишь общими точками наблюдения.

Как обнаружить атаку​

Обнаружение факта эксплуатации по конкретным сигнатурам на основе доступных данных невозможно — специфичных IOC нет. Практический подход для администратора Debian:

• Инвентаризация версий: определить хосты с уязвимыми версиями пакета chromium (см. раздел проверки версии).
  
• Мониторинг целостности: отслеживать падения браузера и генерацию crash-дампов, особенно повторяющиеся на одних и тех же страницах или у одних пользователей.
  
• Сетевой контроль: фиксировать в прокси-журналах обращения к страницам, после которых наблюдаются аномалии на хосте.
  

Дополнительно стоит отслеживать обновление записей NVD и Debian Security Tracker: появление исправленной версии в bookworm-security/trixie-security или изменение urgency будет сигналом к обновлению.

Как проверить свою версию​

Проверить версию ОС и пакета chromium на хосте Debian можно следующими командами:

bash
cat /etc/debian_version
cat /etc/os-release
apt-cache policy chromium
dpkg-query -W -f='${Package} ${Version}\n' chromium

Команда apt-cache policy chromium дополнительно покажет, из какого репозитория установлена версия и доступна ли более новая. Сравните выведенную версию с состоянием в Debian Security Tracker: на момент данных исправленная версия не назначена, а в репозиториях находятся версии 150.0.7871.100-1~deb12u1 (bookworm), 154.0.8037.92-1~deb12u1 (bookworm-security), 150.0.7871.181-1~deb13u1 и 154.0.8037.92-1~deb13u1 (trixie), 154.0.8037.92-1 (forky, sid).

Исправление​

Апстримное исправление содержится в Google Chrome 155.0.8059.39. Для Debian, по данным Security Tracker, исправленная версия пакета chromium ещё не назначена ни для одного релиза, а статус уязвимости — «open».

Рекомендуемые действия:

• Следить за security-репозиториями: обновление ожидается в bookworm-security и trixie-security; регулярно выполнять apt update и проверять наличие новой версии chromium.
  
• Обновиться, как только исправление появится: установить пакет chromium из security-репозитория стандартными средствами apt.
  
• Не откатываться на более старые версии: все перечисленные в трекере версии уязвимы.
  

Пока исправление в Debian недоступно, примените меры из раздела временной защиты. Конкретный номер исправленного пакета Debian будет известен после публикации обновления — указывать его заранее нельзя.

Временные меры защиты​

Поскольку исправленная версия в Debian на момент данных отсутствует, временное снижение риска строится на ограничении экспозиции браузера:

• Ограничить веб-серфинг на серверах и рабочих станциях повышенного риска: по возможности не использовать chromium для доступа к недоверенным сайтам.
  
• Ограничить круг пользователей и сайтов, которым разрешён доступ в интернет через уязвимый браузер, средствами прокси или фильтрации.
  
• Изолировать браузер контейнером или отдельной виртуальной машиной, чтобы потенциальный выход за песочницу не затронул основную систему.
  
• Снизить привилегии учётных записей, работающих с браузером.
  

Это разумные защитные выводы, а не подтверждённые меры из источников: специфичных рекомендаций по смягчению именно этой уязвимости в переданных материалах нет.

Как проверить устранение уязвимости​

После появления исправленного обновления в Debian проверьте результат:

bash
apt update
apt-cache policy chromium
dpkg-query -W -f='${Package} ${Version}\n' chromium

Убедитесь, что установленная версия не ниже исправленной, указанной в Debian Security Tracker для вашего релиза, и что пакет приходит из security-репозитория (bookworm-security или trixie-security). Сверьтесь с записью трекера: статус уязвимости для вашего релиза должен измениться с «open» на «fixed». До публикации обновления проверка сводится к регулярному контролю появления новой версии.

Вывод​

CVE-2026-106401 — ошибка записи за границей буфера в компоненте Media Chromium, которая по описанию потенциально позволяет выполнить код вне песочницы через созданную HTML-страницу.

Для Debian ситуация типична для свежих апстримных исправлений: апстримная версия Chrome 155.0.8059.39 существует, но исправленная версия пакета chromium в репозиториях всех релизов ещё не назначена.

Администраторам следует проверить установленные версии, ограничить использование браузера на недоверенных сайтах и отслеживать появление обновления в security-репозиториях. После публикации обновления нужно незамедлительно обновиться и проверить результат.

Официальные источники​

1. NVD — CVE-2026-106401
   
2. Debian Security Tracker — CVE-2026-106401
   

История обновлений статьи​

• 07.10.2026 — Опубликована первая версия материала.