CVE-2026-84135 в Ubuntu: уязвимость SpiderMonkey в пакетах mozjs и thunderbird

CVE: CVE-2026-84135
Продукт: Ubuntu
Дата публикации: 01.09.2026
Критичность: CRITICAL
CVSS: 9.8 (3.1)
EPSS: 0,25%; процентиль 16,71%
CISA KEV: нет подтверждения в каталоге CISA KEV

Краткое описание​

Mozilla опубликовала данные о критической уязвимости в движке JavaScript SpiderMonkey. Ошибка исправлена в Firefox 155.0, а в реестре Ubuntu OSV зафиксировано влияние на несколько LTS-релизов.

Точная механика атаки не раскрыта публично. Статья описывает затронутые версии, порядок проверки состояния системы и методы временной защиты.

Основные характеристики​

Риск связан с возможностью удаленного атакующего повлиять на работу движка JavaScript через специально сформированные данные. Официальные источники не раскрывают точную механику эксплуатации, но указывают на нарушение валидации входных данных и потенциальное раскрытие информации.

• Классификация: CWE-20 (Input Validation) и CWE-200 (Information Exposure). Указывает на недостаточную проверку данных перед обработкой движком.
  
• CVSS 3.1: 9.8 (CRITICAL). Вектор: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Высокий балл отражает сетевой вектор атаки без необходимости аутентификации и пользовательского взаимодействия.
  
• Эксплуатация: В каталоге CISA KEV подтверждений активной эксплуатации в дикой природе на момент публикации данных нет.
  
• EPSS: 0,25% (0.00253). Низкая вероятность эксплуатации в ближайший год, что коррелирует с отсутствием публичных эксплойтов.
  

Какие продукты и версии затронуты​

В Ubuntu уязвимость затрагивает несколько пакетов, содержащих движок SpiderMonkey. В реестре Ubuntu OSV для CVE-2026-84135 указана оценка «medium», что может отражать локальный контекст или статус исправлений, однако NVD присваивает критический уровень.

• Ubuntu 18.04 LTS (bionic):
  
  • mozjs52 (версия 52.9.1-0ubuntu0.18.04.1)
    
  • mozjs38 (версия 38.8.0~repack1-0ubuntu4)
    
• Ubuntu 20.04 LTS (focal):
  
  • mozjs68 (версия 68.6.0-1ubuntu1)
    
  • mozjs52 (версия 52.9.1-1ubuntu3)
    
• Ubuntu 22.04 LTS (jammy):
  
  • mozjs102 (версия 102.15.1-0ubuntu0.22.04.1)
    
  • mozjs78 (версия 78.15.0-4ubuntu1)
    
  • mozjs91 (версия 91.10.0-0ubuntu1)
    
  • thunderbird (версия 1:140.7.1+build1-0ubuntu0.22.04.1) и связанные пакеты
    
• Ubuntu 24.04 LTS (noble):
  
  • mozjs102 (версия 102.15.1-3ubuntu2)
    
  • mozjs115 (версия 115.10.0-1)
    

Исправление в исходном продукте Mozilla (Firefox) вышло в версии 155.0. Для Ubuntu необходимо ждать официальных обновлений пакетов, которые будут содержать соответствующие патчи.

Причина уязвимости​

Точная техническая причина уязвимости не раскрыта в публичных источниках. Описание в NVD и Mozilla Bugzilla содержит минимальную информацию: «Other issue in Firefox Focus for Android».

Согласно классификации CWE, проблема связана с CWE-20 (Input Validation) и CWE-200 (Information Exposure). Это подразумевает, что движок SpiderMonkey некорректно обрабатывает определенные входные данные, что может привести к утечке информации или нарушению логики выполнения кода.

Без доступа к исходному коду патча или детальному техническому разбору в Bugzilla (который требует прав доступа) невозможно точно определить, какая именно функция или структура данных является уязвимой.

Как работает атака​

Атака, согласно вектору CVSS, возможна удаленно через сеть без необходимости аутентификации. Атакующий может передать специально сформированные данные в движок JavaScript, например, через веб-страницу, если браузер или приложение использует уязвимую версию SpiderMonkey.

Поскольку CWE-200 указывает на раскрытие информации, а CWE-20 — на проблему валидации, вероятный сценарий включает передачу данных, которые обходят проверки и приводят к чтению памяти или изменению состояния движка.

Однако конкретный механизм (например, overflow, type confusion) не подтвержден публично. Важно не приписывать уязвимости конкретные векторы (например, RCE), если они не указаны в официальных отчетах.

Условия успешной эксплуатации​

Для успешной эксплуатации уязвимости атакующему необходимо:

• Доступ к уязвимой системе: Целевая система должна использовать одну из перечисленных уязвимых версий пакетов mozjs или thunderbird.
  
• Вектор доставки: Способ доставки вредоносных данных в движок JavaScript. Для десктопных систем это может быть запуск приложения, использующего SpiderMonkey, или обработка веб-контента, если браузер установлен.
  
• Отсутствие исправлений: Система не должна быть обновлена до версий, содержащих патч для CVE-2026-84135.
  

Так как пользовательское взаимодействие не требуется (UI:N), атакующий может попытаться эксплуатировать уязвимость автоматически, если сможет заставить приложение обработать вредоносные данные.

Возможный сценарий атаки​

Гипотетический сценарий атаки: атакующий создает веб-страницу или документ, содержащий специально сформированный JavaScript-код. Если пользователь или автоматизированный процесс (например, бот) открывает этот контент в приложении, использующем уязвимую версию SpiderMonkey, движок обрабатывает данные.

Из-за недостаточной валидации (CWE-20) происходит нарушение, которое может привести к раскрытию информации (CWE-200) или более серьезным последствиям, если это подтвердится в будущих отчетах.

В контексте Ubuntu, если на сервере или рабочей станции установлены уязвимые версии mozjs, атакующий может попытаться эксплуатировать уязвимость через локальные приложения или сервисы, использующие эти библиотеки. Однако без публичного PoC точный сценарий остается гипотетическим.

Есть ли публичный эксплойт​

На момент публикации данных в каталоге CISA KEV нет подтверждений активной эксплуатации CVE-2026-84135 в дикой природе. Публичные эксплойты (PoC) в открытых репозиториях не обнаружены.

Это означает, что риск эксплуатации в настоящее время низкий, но может вырасти, если атакующие разработают собственные эксплойты на основе технического описания в Bugzilla.

Признаки эксплуатации​

Специфичные индикаторы компрометации (IOC) для CVE-2026-84135 не опубликованы. Общие точки контроля, которые можно использовать для мониторинга, включают:

• Аномальная активность процессов: Необычное поведение процессов, использующих библиотеки mozjs (например, thunderbird или другие приложения, линкующиеся с SpiderMonkey).
  
• Сетевые соединения: Необычные исходящие соединения из процессов, использующих уязвимые библиотеки.
  
• Изменения в файловой системе: Создание или модификация файлов в каталогах, связанных с приложениями, использующими SpiderMonkey.
  

Эти индикаторы неспецифичны и могут указывать на другие атаки, поэтому их использование требует осторожности и корреляции с другими событиями.

Как обнаружить атаку​

Для обнаружения потенциальной эксплуатации или наличия уязвимых версий можно использовать следующие методы:

• Проверка версий пакетов: Использование apt-cache policy для проверки установленных версий mozjs и thunderbird.
  
• Мониторинг логов: Анализ логов приложений, использующих SpiderMonkey, на предмет ошибок или аномальных сообщений.
  
• Сканирование уязвимостей: Использование инструментов сканирования (например, lynis, openvas) для выявления уязвимых версий пакетов.
  

Так как специфичные IOC отсутствуют, детекция должна основываться на общих принципах мониторинга аномальной активности и проверке соответствия версий пакетов официальным рекомендациям Ubuntu.

Как проверить свою версию​

Для проверки установленных версий пакетов в Ubuntu используйте следующие команды. Замените <имя-пакета> на конкретное имя пакета (например, mozjs102, thunderbird).

# Проверка версии ОС
cat /etc/os-release

# Проверка версии ядра
uname -r

# Проверка версии конкретного пакета
apt-cache policy <имя-пакета>

# Проверка статуса безопасности системы
ubuntu-security-status

Команда apt-cache policy покажет установленную версию и доступные обновления. Если в выводе указана версия, совпадающая с уязвимыми версиями из раздела «Затронутые продукты», система требует обновления.

Исправление​

Основной метод устранения уязвимости — обновление пакетов до версий, содержащих исправление. Для Ubuntu это означает ожидание официальных обновлений от команды безопасности Ubuntu, которые будут включать патчи для SpiderMonkey.

• Обновление пакетов: Используйте apt-get update && apt-get upgrade для получения последних обновлений. Убедитесь, что пакеты mozjs и thunderbird обновлены до версий, указанных в официальных advisories Ubuntu.
  
• Мониторинг: Следите за официальными уведомлениями Ubuntu Security (CVE-2026-84135 | Ubuntu) для получения информации о выпуске исправлений.
  

Если обновления еще не доступны, рассмотрите временные меры, описанные ниже.

Временные меры защиты​

Пока официальные обновления не выпущены, можно применить следующие временные меры:

• Ограничение доступа: Ограничьте доступ к приложениям, использующим уязвимые версии SpiderMonkey, только для доверенных пользователей.
  
• Изоляция: Если возможно, изолируйте системы, использующие уязвимые версии, от внешней сети или ограничьте входящие соединения.
  
• Мониторинг: Усиленный мониторинг активности приложений, использующих mozjs, для выявления аномального поведения.
  

Эти меры не устраняют уязвимость, но снижают риск успешной атаки.

Как проверить устранение уязвимости​

После применения обновлений проверьте, что уязвимые версии пакетов больше не установлены:

# Проверка версии пакета
apt-cache policy <имя-пакета>

Убедитесь, что установленная версия отличается от уязвимых версий, перечисленных в разделе «Затронутые продукты». Также можно использовать ubuntu-security-status для проверки общего статуса безопасности системы. Если все пакеты обновлены до безопасных версий, уязвимость CVE-2026-84135 считается устраненной.

Вывод​

CVE-2026-84135 представляет собой критическую уязвимость в движке SpiderMonkey, затрагивающую несколько версий пакетов в Ubuntu. Хотя публичные эксплойты отсутствуют, высокий балл CVSS и сетевой вектор атаки делают эту уязвимость потенциально опасной.

Администраторам Ubuntu рекомендуется отслеживать официальные обновления и применять их как только они станут доступны. Временные меры, такие как ограничение доступа и мониторинг, могут снизить риск до момента выпуска исправлений.

Официальные источники​

1. NVD — CVE-2026-84135
   
2. Ubuntu OSV — CVE-2026-84135
   
3. FIRST EPSS — CVE-2026-84135
   

История обновлений статьи​

• 06.09.2026 — Опубликована первая версия материала.