CVE-2026-19149 в Debian: критический выход из песочницы Chromium и порядок обновления

CVE: CVE-2026-19149
Продукт: Debian
Дата публикации: 07.08.2026
Критичность: CRITICAL
CVSS: 9.6 (3.1)
EPSS: 0,49%; процентиль 40,38%
CISA KEV: нет подтверждения в каталоге CISA KEV

Краткое описание​

В компоненте Aura браузера Chromium обнаружена уязвимость типа Use After Free, позволяющая удалённому злоумышленнику выйти из изолированной среды (sandbox) через специально сформированную HTML-страницу. В дистрибутиве Debian пакет chromium в версиях до 151.0.7922.108 содержит этот дефект. Статья разбирает механику нарушения, статус исправлений в репозиториях Debian (bookworm, trixie, sid) и методы проверки актуальности установленных версий.

Основные характеристики​

Риск заключается в нарушении изоляции браузерного процесса: успешная эксплуатация позволяет злоумышленнику выполнить код с привилегиями, превышающими ограничения песочницы Chromium, что может привести к компрометации всей сессии пользователя.

• Тип ошибки: Use After Free (CWE-416) в компоненте Aura.
  
• CVSS 3.1: 9.6 (CRITICAL). Вектор: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H. Высокий балл обусловлен сетевым вектором атаки и полным нарушением конфиденциальности, целостности и доступности.
  
• Условия атаки: Требуется взаимодействие пользователя (UI:R) — открытие вредоносной страницы. Прямой доступ к системе не нужен.
  
• Эксплуатация: В каталоге CISA KEV не подтверждена. Публичные PoC или подтверждённые атаки в дикой природе в переданных источниках не зафиксированы.
  
• EPSS: 0,49% (процентиль 40,38%). Вероятность эксплуатации в ближайшие 30 дней оценивается как низкая, но не нулевая.
  

Какие продукты и версии затронуты​

Уязвимость затрагивает пакет chromium в дистрибутиве Debian. Статус исправлений варьируется в зависимости от релиза.

• Debian 12 (bookworm): Статус resolved. Исправление включено в версию 151.0.7922.108-1~deb12u1. В репозитории bookworm-security доступна версия 151.0.7922.173-1~deb12u1.
  
• Debian 13 (trixie): Статус resolved. Исправление включено в версию 151.0.7922.108-1~deb13u1. В репозитории trixie-security доступна версия 151.0.7922.173-1~deb13u1.
  
• Debian Sid (unstable): Статус resolved. Исправление включено в версию 151.0.7922.108-1. В репозитории sid доступна версия 151.0.7922.173-1.
  
• Debian 11 (bullseye): Статус open. Релиз находится в фазе end-of-life, исправление не запланировано. Текущая версия 120.0.6099.224-1~deb11u1 уязвима.
  
• Debian forky (testing): Статус open. Исправление не назначено. Текущая версия 150.0.7871.181-1 уязвима.
  

Причина уязвимости​

Причина уязвимости кроется в нарушении жизненного цикла объектов памяти в компоненте Aura, который отвечает за интерфейс и логику браузера. Ошибка типа Use After Free возникает, когда код обращается к памяти, которая уже была освобождена (free), но указатель на неё всё ещё хранится в переменной.

В контексте Chromium Aura управляет сложной иерархией виджетов и событий. Если объект, например, обработчик события или элемент интерфейса, был удалён, но ссылка на него сохранилась, последующее обращение к этой памяти может привести к чтению или записи в произвольные области. Это нарушает целостность данных и позволяет злоумышленнику контролировать поток выполнения программы, что в итоге приводит к выходу из песочницы.

Как работает атака​

Атака реализуется через специально сформированную HTML-страницу. Злоумышленник не имеет прямого доступа к системе жертвы, но может разместить вредоносный код на веб-сайте или в электронной почте.

Когда пользователь открывает эту страницу, браузер загружает и обрабатывает HTML. В процессе рендеринга или обработки событий срабатывает логическая ошибка в Aura, приводящая к обращению к освобождённой памяти. Злоумышленник может использовать этот сбой для перезаписи данных в памяти, изменения указателей или вызова функций с произвольными аргументами.

Ключевой этап атаки — обход механизмов изоляции (sandbox). Chromium использует несколько уровней защиты, но ошибка в Aura позволяет нарушить границы между изолированным процессом рендеринга и более привилегированными процессами. Это даёт злоумышленнику возможность выполнить код в контексте, где ограничения песочницы не действуют.

Условия успешной эксплуатации​

Для успешной эксплуатации уязвимости необходимо соблюдение следующих условий:

• Взаимодействие пользователя: Злоумышленник не может атаковать систему без ведома пользователя. Требуется, чтобы жертва открыла вредоносную HTML-страницу в уязвимой версии Chromium.
  
• Уязвимая версия браузера: Система должна использовать версию Chromium, содержащую ошибку в Aura (до 151.0.7922.108 в контексте Debian).
  
• Отсутствие дополнительных защит: Если на системе настроены строгие политики безопасности (например, запрет на запуск браузера в изолированных контейнерах или использование специализированных профилей), это может усложнить атаку, но не исключает её полностью, если браузер запущен в стандартном режиме.
  

Возможный сценарий атаки​

Типичный сценарий начинается с фишинговой рассылки или размещения вредоносного баннера. Пользователь переходит по ссылке и открывает страницу в уязвимой версии Chromium.

В фоне браузер обрабатывает DOM-дерево и события. В определённый момент срабатывает логика, содержащая Use After Free. Злоумышленник использует этот сбой для получения контроля над процессом рендеринга.

Далее атакующий эксплуатирует механизмы межпроцессного взаимодействия (IPC) Chromium, чтобы передать вредоносный код в более привилегированный процесс. В результате злоумышленник получает возможность выполнять произвольный код с правами пользователя, который запустил браузер. Это позволяет установить вредоносное ПО, украсть данные или перехватить сессию.

Есть ли публичный эксплойт​

В переданных источниках отсутствуют сведения о публичных эксплойтах, PoC или подтверждённой эксплуатации CVE-2026-19149 в реальных атаках. Уязвимость не включена в каталог CISA KEV. Это не означает, что эксплойт не существует, но подтверждённых данных о его доступности в открытом доступе на момент публикации статьи нет.

Признаки эксплуатации​

Специфичные индикаторы компрометации (IOC) для этой уязвимости в официальных источниках не опубликованы. Для мониторинга следует использовать общие, неспецифичные признаки атаки на браузер:

• Необычная активность процессов chromium или chrome (высокое использование CPU, создание подозрительных дочерних процессов).
  
• Попытки доступа к файлам вне профиля браузера (например, чтение ~/.ssh, ~/.aws).
  
• Сетевые соединения с неизвестными IP-адресами или доменами, инициированные процессом браузера.
  
• Изменения в конфигурации браузера (добавление расширений, изменение прокси-настроек) без ведома пользователя.
  

Как обнаружить атаку​

Для обнаружения атаки рекомендуется использовать следующие методы:

• Мониторинг процессов: Отслеживайте создание дочерних процессов браузером. Нормальный браузер не должен запускать интерпретаторы (bash, python) или сетевые утилиты (curl, wget) без явной команды пользователя.
  
• Анализ сетевых логов: Проверяйте исходящие соединения от процессов браузера. Подозрительны соединения с новыми, неизвестными доменами или IP-адресами, особенно если они сопровождаются передачей данных.
  
• Аудит файлов: Используйте инструменты типа auditd для отслеживания доступа к чувствительным файлам (ключи SSH, токены облачных сервисов) со стороны процессов браузера.
  
• Системные логи: Анализируйте логи syslog и auth.log на предмет аномальных входов или изменений конфигурации, связанных с сессией браузера.
  

Как проверить свою версию​

Для проверки версии установленного пакета chromium в Debian используйте следующие команды. Замените <имя-пакета> на chromium.

# Проверка версии дистрибутива
cat /etc/debian_version
cat /etc/os-release

# Проверка версии пакета chromium
apt-cache policy chromium
dpkg-query -W -f='${Package} ${Version}\n' chromium

Сравните полученную версию с версиями, указанными в разделе «Какие продукты и версии затронуты». Если версия ниже 151.0.7922.108, система уязвима.

Исправление​

Единственный надёжный способ устранения уязвимости — обновление пакета chromium до исправленной версии.

• Debian 12 (bookworm): Обновите пакет до версии 151.0.7922.108-1~deb12u1 или выше. Используйте apt-get update && apt-get upgrade chromium.
  
• Debian 13 (trixie): Обновите пакет до версии 151.0.7922.108-1~deb13u1 или выше. Используйте apt-get update && apt-get upgrade chromium.
  
• Debian Sid (unstable): Обновите пакет до версии 151.0.7922.108-1 или выше. Используйте apt-get update && apt-get upgrade chromium.
  
• Debian 11 (bullseye) и forky: Официальных исправлений нет. Рекомендуется перейти на поддерживаемый релиз Debian или использовать альтернативный браузер, не содержащий уязвимости.
  

Временные меры защиты​

Пока обновление не установлено, можно снизить риск атаки, но полностью устранить уязвимость эти меры не позволяют:

• Ограничение доступа к браузеру: Запретите запуск Chromium для пользователей, которым не требуется доступ к интернету.
  
• Использование профилей: Настройте браузер в режиме «инкогнито» или используйте отдельные профили для работы с недоверенными сайтами.
  
• Отключение JavaScript: Отключите JavaScript для сайтов, которым вы не доверяете. Это может предотвратить выполнение вредоносного кода, но также нарушит работу многих современных веб-приложений.
  
• Использование альтернативных браузеров: Если возможно, используйте браузеры, не содержащие уязвимости (например, Firefox), для работы с недоверенным контентом.
  

Как проверить устранение уязвимости​

После обновления пакета chromium проверьте, что уязвимость устранена:

1. Выполните команду dpkg-query -W -f='${Package} ${Version}\n' chromium и убедитесь, что версия соответствует или превышает 151.0.7922.108.
   
2. Перезапустите браузер, чтобы изменения вступили в силу.
   
3. Проверьте, что браузер корректно работает и не содержит ошибок, связанных с обновлением.
   
4. При необходимости проведите повторный аудит сетевой активности и процессов для подтверждения отсутствия аномалий.
   

Вывод​

CVE-2026-19149 представляет серьёзную угрозу для пользователей Debian, использующих уязвимые версии Chromium. Выход из песочницы браузера может привести к полной компрометации сессии пользователя.

Администраторам и пользователям рекомендуется как можно скорее обновить пакет chromium до исправленной версии в поддерживаемых релизах Debian. Для систем, где обновление невозможно, следует принять временные меры по снижению риска и рассмотреть переход на альтернативные браузеры.

Официальные источники​

1. NVD — CVE-2026-19149
   
2. Debian Security Tracker — CVE-2026-19149
   
3. FIRST EPSS — CVE-2026-19149
   

История обновлений статьи​

• 10.08.2026 — Опубликована первая версия материала.
  
• 10.08.2026 — Уточнены сведения об уязвимых версиях, оценке риска или исправлении.
  
• 13.08.2026 — Уточнены сведения об уязвимых версиях, оценке риска или исправлении.
  
• 27.08.2026 — Уточнены сведения об уязвимых версиях, оценке риска или исправлении.
  
• 31.08.2026 — Уточнены сведения об уязвимых версиях, оценке риска или исправлении.