DataTransfer в Chrome и Edge открывает путь к отказу в обслуживании

Ошибка в компоненте DataTransfer браузеров Google Chrome и Microsoft Edge позволяет удалённому злоумышленнику вызвать отказ в обслуживании. Уязвимость получила идентификатор CVE-2026-84325 и оценку 9,8 по шкале CVSS 3.1, это критический уровень опасности. Затронуты пользователи Windows, Linux и macOS, а вместе с ними дистрибутивы Debian и Astra Linux, где браузер поставляется пакетом chromium.

Детали уязвимости CVE-2026-84325 и затронутые системы

Класс проблемы - недостаточная проверка вводимых данных (CWE-20). Браузер получает данные из внешнего источника, проверяет их неполно и в итоге неверно распоряжается ресурсами. BDU (Банк данных угроз безопасности информации) описывает способ эксплуатации как манипулирование ресурсами. Атака идёт по сети, не требует привилегий и не зависит от действий пользователя: достаточно, чтобы браузер обработал подготовленные данные.

Формальная оценка в 9,8 балла предполагает полное влияние на конфиденциальность, целостность и доступность. В тексте описания последствие скромнее - отказ в обслуживании. Практический сценарий выглядит так: вкладка перестаёт отвечать, браузер зависает или аварийно закрывается, работа с веб-приложениями останавливается. Готовый эксплойт в базе не упомянут, сведения об эксплуатации помечены как уточняющиеся. Производители проблему подтвердили, дата выявления - 26 августа 2026 года.

Компонент DataTransfer отвечает за передачу данных при перетаскивании объектов и работе с буфером обмена. Через него в браузер попадают файлы и фрагменты содержимого со стороны сайта. Именно на этом пути проверка входящих данных оказывается недостаточной.

Какие системы затронуты

Список уязвимых версий широк. Chrome до 152.0.7977.75 на Linux и Windows, Chrome до 152.0.7977.76 на macOS, Edge до 152.0.4191.62. В реестре BDU перечислены Debian GNU/Linux 12 и 13, Astra Linux Special Edition 1.7 и 1.8. Для Astra значение имеет версия пакета chromium, потому что браузер там собирают отдельно от апстрима.

Организации с парком тонких клиентов и веб-терминалов рискуют больше остальных. В таких схемах браузер подменяет рабочее место целиком, и его зависание останавливает работу сотрудника, а не просто прерывает просмотр сайта. Госсектор и компании с отечественными дистрибутивами попадают в зону риска из-за массовости установок, а не из-за какой-то особой конфигурации.

Исправления и что делать администраторам

Обновления уже вышли. Google закрыл проблему в стабильном канале Chrome, Microsoft - в свежей сборке Edge 152.0.4191.62. Пользователю достаточно открыть меню "О браузере" и перезапустить программу: фоновая установка применяется не всегда и иногда ждёт следующего запуска.

В Astra Linux пакет chromium обновляют до версии 153.0.8010.36. Для Special Edition 1.8 это сборка 0astragost3, для 1.7 - 0astragost2, обе доступны в бюллетенях производителя. Дистрибутив Debian получает исправление через штатные обновления безопасности, их статус отслеживает трекер проекта. Там, где обновление пока недоступно, ФСТЭК России советует опираться на "Рекомендации по безопасной настройке операционных систем LINUX" от 25 декабря 2022 года. Дополнительно снизить риск помогает отказ от перетаскивания файлов между окнами и сайтами на машинах, где браузер отвечает за критичные процессы.

Отдельная сложность - согласованность версий. Chromium в Linux-дистрибутивах обновляется медленнее, чем фирменные сборки Chrome и Edge, поэтому окно уязвимости там шире. Администраторам стоит проверить инвентаризацию: номер сборки в отчётах систем управления должен совпадать с исправленным, иначе часть парка останется без защиты.

Браузер обрабатывает чужой контент постоянно: страницы, файлы, вставки из буфера обмена. Каждый такой поток проходит через проверки, и ошибка в одной из них оборачивается либо отказом в обслуживании, либо чем-то более серьёзным. Обновление до актуальной сборки Chrome, Edge или пакета chromium закрывает известный вектор, но не отменяет правила: версия браузера требует такой же дисциплины обновлений, как и серверное программное обеспечение.

Детали уязвимости CVE-2026-84325 и затронутые системы

Какие системы затронуты

Исправления и что делать администраторам

Ссылки