CVE-2026-106401 в Debian: запись за пределами границ в Media, уязвимые сборки Chromium и порядок защиты

CVE: CVE-2026-106401
Продукт: Debian
Дата публикации: 06.10.2026
Критичность: CRITICAL
CVSS: 9.6 (3.1)
EPSS: 0,30%; процентиль 20,72%
CISA KEV: нет подтверждения в каталоге CISA KEV

Краткое описание​

CVE-2026-106401 — запись за пределами границ буфера (CWE-787) в компоненте Media браузера Google Chrome до версии 155.0.8059.39. По описанию NVD удалённый злоумышленник мог через специально созданную HTML-страницу потенциально выполнить произвольный код за пределами песочницы.

Для Debian уязвим пакет chromium: по данным Debian Security Tracker исправленная версия для дистрибутива ещё не выпущена, статус во всех поддерживаемых ветках — открыт. Статья разбирает механику риска, перечисляет затронутые релизы Debian и даёт порядок проверки и снижения риска.

Основные характеристики​

Суть риска: браузер, открывающий недоверенную веб-страницу, может записать данные за границами буфера в медиа-подсистеме, что по описанию NVD потенциально позволяет выполнить код вне песочницы браузера.

• Тип ошибки: CWE-787 — запись за пределами границ (out of bounds write) в компоненте Media.
  
• CVSS 3.1: 9.6, CRITICAL, вектор CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H — сетевой вектор, привилегии не нужны, но требуется взаимодействие с пользователем; влияние на конфиденциальность, целостность и доступность высокое, область изменена.
  
• Оценка Chromium: Medium — вендорская оценка ниже базовой CVSS, что типично для багов, требующих действия пользователя.
  
• Порог уязвимости: Chrome/Chromium ниже 155.0.8059.39.
  
• EPSS: 0,299% (процентиль 20,72%) — расчётная вероятность эксплуатации в ближайшие 30 дней пока низкая, метрика динамическая.
  
• CISA KEV: подтверждения внесения в каталог нет.
  

Какие продукты и версии затронуты​

Уязвимы Google Chrome и основанный на Chromium пакет chromium в Debian версий ниже 155.0.8059.39.

По данным Debian Security Tracker, исправленная версия для пакета chromium не назначена ни в одном релизе, статус везде — открыт:

• bookworm (Debian 12): в репозитории bookworm — 150.0.7871.100-1~deb12u1, в bookworm-security — 154.0.8037.92-1~deb12u1; обе версии ниже порога 155.0.8059.39.
  
• trixie (Debian 13): в репозитории trixie — 150.0.7871.181-1~deb13u1, в trixie-security — 154.0.8037.92-1~deb13u1.
  
• forky: 154.0.8037.92-1.
  
• sid: 154.0.8037.92-1.
  

Срочность исправления в трекере помечена как «not yet assigned»: обновление в репозиториях Debian на момент выгрузки данных ещё не подготовлено.

Причина уязвимости​

Причина — ошибка работы с памятью: запись за пределами выделенного буфера (CWE-787) в медиа-подсистеме браузера. Точное место в коде, обрабатываемый формат или функция в открытых описаниях не раскрыты: issue-трекер Chromium ограничивает доступ к деталям до выпуска обновлений у большинства пользователей.

Запись за границами буфера — один из опасных классов ошибок памяти: контролируемое переполнение может разрушить служебные структуры данных и при определённых условиях привести к выполнению подконтрольного кода. В описании NVD указано, что следствием была потенциальная возможность выполнения произвольного кода за пределами песочницы браузера — то есть ошибка затрагивала не только изолированный песочницей рендер-процесс, но и компонент с более широкими правами.

Как работает атака​

Путь данных до уязвимого компонента начинается с веб-контента: по описанию уязвимости достаточно специально созданной HTML-страницы. Пользователь открывает страницу (по ссылке, из письма, через результат поиска), браузер загружает и разбирает документ, страница инициирует обработку медиа-данных — на этом этапе в компоненте Media происходит запись за границами буфера.

Нарушенная проверка — корректность границ записи при обработке медиа-данных: код записывает данные за пределами выделенной области памяти. Конкретный формат или API, через которые данные попадают в уязвимый код, в доступных источниках не раскрыты, поэтому строить детальные предположения о точке входа не следует.

Результат по описанию NVD — потенциальное выполнение произвольного кода вне песочницы. Большинство ошибок в рендерере ограничены песочницей рендер-процесса; здесь же описан выход за её пределы, что даёт атакующему код с правами процесса браузера, а не изолированного рендерера.

Вектор CVSS подтверждает условия: атака сетевая (AV:N), сложность низкая (AC:L), привилегии не требуются (PR:N), но требуется взаимодействие пользователя (UI:R) — жертва должна открыть вредоносную страницу.

Условия успешной эксплуатации​

Подтверждённые и выводимые из вектора условия:

• уязвимая версия Chrome/Chromium — ниже 155.0.8059.39;
  
• жертва должна открыть специально созданную HTML-страницу (UI:R), например перейти по ссылке;
  
• атака сетевая и не требует прав или аутентификации (AV:N, PR:N, AC:L);
  
• для доставки страницы нужен канал: веб-сайт, письмо, мессенджер, внедрённый iframe.
  

Детальные требования к конкретным медиа-форматам, настройкам или окружению в источниках не раскрыты.

Возможный сценарий атаки​

Разумный сценарий, следующий из описания уязвимости и вектора CVSS (защитная модель, а не подтверждённый факт эксплуатации):

1. Злоумышленник готовит HTML-страницу, которая при открытии вызывает обработку медиа-данных, приводящую к записи за границами буфера в компоненте Media.
   
2. Жертва на системе с уязвимым Chromium в Debian открывает страницу — например, по ссылке из письма или сообщения.
   
3. При срабатывании ошибки память повреждается, и, по описанию NVD, злоумышленник потенциально получает выполнение кода вне песочницы браузера.
   
4. Код вне песочницы выполняется с правами процесса браузера и пользовательской учётной записи — это открывает доступ к файлам пользователя, токенам сессий и дальнейшему закреплению в системе.
   

Границы сценария: подтверждённых случаев эксплуатации в дикой природе в доступных источниках нет, а вендорская оценка Chromium — Medium, что отражает необходимость пользовательского действия и, вероятно, дополнительные практические сложности, которые публично не описаны.

Есть ли публичный эксплойт​

Подтверждённого публичного эксплойта в пакете доказательств нет: каталог CISA KEV не содержит записи (KEV: null), ссылки NVD ведут только на релиз-ноты Chrome и issue в трекере Chromium, признаков PoC или технического описания эксплуатации не приведено.

Отсутствие сведений не означает отсутствие эксплойта: детали ошибки скрыты до обновления пользователей, а EPSS 0,299% — динамическая оценка, которая может вырасти при появлении публичного кода. Статус стоит периодически перепроверять.

Признаки эксплуатации​

Специфичные IOC для этой уязвимости в доступных источниках отсутствуют: ни хэшей, ни доменов доставки, ни характерных паттернов в логах не опубликовано.

Неспецифичные точки контроля, применимые к браузерным атакам через вредоносную страницу:

• журналы прокси и DNS на обращения к подозрительным доменам, с которых доставлялись страницы;
  
• журналы браузера и EDR на нетипичные дочерние процессы, запущенные процессом браузера (признак выхода за песочницу);
  
• аномальные сетевые соединения, инициированные процессом chromium после посещения веб-страниц;
  
• следы записи файлов в пользовательские каталоги, не связанные с обычным поведением загрузок.
  

Эти признаки не являются подтверждёнными индикаторами именно CVE-2026-106401 и требуют корреляции с контекстом.

Как обнаружить атаку​

Обнаружение строится на трёх уровнях: инвентаризация версий, поведенческий контроль и мониторинг статуса угрозы.

• Проверить версии chromium на всех хостах Debian командами из раздела проверки версии и сопоставить с порогом 155.0.8059.39.
  
• Настроить EDR и журналы на отслеживание дочерних процессов браузера и необычных сетевых соединений от процессов chromium — неспецифичный, но практичный контроль для браузерных эксплойтов.
  
• Отслеживать Debian Security Tracker и релиз-ноты Chromium на появление исправленного пакета и новых сведений об эксплуатации.
  

Специфичных правил сигнатурного обнаружения для этой ошибки в источниках не опубликовано.

Как проверить свою версию​

Проверьте версию ОС и установленного пакета chromium:

cat /etc/debian_version
cat /etc/os-release
apt-cache policy chromium
dpkg-query -W -f='${Package} ${Version}\n' chromium

apt-cache policy chromium покажет установленную и доступную версии из репозиториев. Уязвимы сборки ниже 155.0.8059.39: например, 154.0.8037.92-1~deb12u1 из bookworm-security или 154.0.8037.92-1 из sid/forky уязвимы, несмотря на то что формально являются актуальными пакетами безопасности.

Исправление​

Полноценное исправление — обновление Chromium до версии не ниже 155.0.8059.39 (в Debian — до исправленного пакета, когда он появится).

По состоянию данных Debian Security Tracker исправленная версия для пакета chromium не назначена ни в bookworm, ни в trixie, ни в forky, ни в sid, а срочность помечена как «not yet assigned». Готового обновления через apt на момент выгрузки данных нет.

Рекомендуемый порядок:

• регулярно проверять apt update и страницу трекера Debian на появление исправленной версии;
  
• при выходе обновления установить его без задержки: sudo apt update && sudo apt install chromium;
  
• в окружениях, где Chromium не является обязательным, рассмотреть его удаление до выпуска исправления;
  
• следить за релиз-нотами Chrome — исправление 155.0.8059.39 уже выпущено для настольной стабильной ветки Google Chrome, что подтверждает доступность фикса на стороне апстрима.
  

Временные меры защиты​

Пока исправленный пакет Debian не выпущен, снизить риск можно мерами, ограничивающими доставку вредоносных страниц:

• ограничить использование Chromium для посещения недоверенных сайтов; для рискованных ресурсов применять изолированные среды (отдельная ВМ или контейнер без доступа к корпоративным ресурсам);
  
• фильтрация веб-контента и репутационные категории на прокси, чтобы затруднить доставку страниц-приманок;
  
• запретить выполнение произвольных загрузок и ограничить права учётных записей, под которыми запускается браузер;
  
• информировать пользователей о риске перехода по ссылкам из недоверенных источников — вектор требует взаимодействия пользователя (UI:R).
  

Эти меры не устраняют уязвимость и не заменяют обновление.

Как проверить устранение уязвимости​

После появления исправленного пакета проверьте:

• версию пакета: dpkg-query -W -f='${Package} ${Version}\n' chromium — она должна быть не ниже порога 155.0.8059.39 (конкретный номер исправленной сборки Debian будет виден в трекере);
  
• статус в Debian Security Tracker: для вашего релиза статус должен смениться с «open» на «fixed» с назначенной версией;
  
• отсутствие отложенных обновлений: apt list --upgradable | grep chromium.
  

До выпуска фикса проверка сводится к подтверждению, что вы отслеживаете трекер и репозитории безопасности.

Вывод​

Исправление на стороне апстрима выпущено — Google закрыл ошибку в Chrome 155.0.8059.39, но в Debian пакет chromium во всех поддерживаемых ветках остаётся без исправленной версии, и трекер помечает срочность как не назначенную. Окно риска открыто: уязвимость сетевая, требует лишь открытия страницы и по описанию допускает выполнение кода вне песочницы.

Практические шаги: зафиксировать текущие версии chromium на хостах, ограничить браузерную активность на недоверенных ресурсах, отслеживать Debian Security Tracker и установить пакет сразу после его появления в репозитории безопасности. Низкая текущая EPSS не является основанием для ожидания — метрика может измениться в любой момент.

Официальные источники​

1. NVD — CVE-2026-106401
   
2. Debian Security Tracker — CVE-2026-106401
   
3. FIRST EPSS — CVE-2026-106401
   

История обновлений статьи​

• 07.10.2026 — Опубликована первая версия материала.
  
• 08.10.2026 — Уточнены сведения об уязвимых версиях, оценке риска или исправлении.