Стабильная сборка ChromeOS закрывает ошибки в нескольких компонентах браузера. Часть из них позволяет выполнить произвольный код за пределами песочницы. Другие ведут к раскрытию информации и обходу политики происхождения сайтов. Обновление нужно ставить на все устройства, которые ещё не получили свежую версию.
Что исправляют и кому ставить обновление
Google выложила сборку ChromeOS 16836.32.0 на стабильном канале. В её составе - браузер версии 156.0.8078.93. Записи CVE в базе Chrome описывают затронутые сборки браузера как версии до 157.0.8103.38. Администраторам разумно ориентироваться на номер платформы из бюллетеня Google: сборка 16836.32.0 закрывает перечисленные ошибки.
Бюллетень охватывает и ChromeOS Flex - Google указывает её в заголовке вместе с обычной ChromeOS. Устройства на стабильном канале получают обновление автоматически, но применяется оно после перезагрузки. Пока система работает со старой сборкой, ошибки остаются доступными. Версию платформы видно в настройках системы, и это самый быстрый способ проверить парк.
Выход за пределы песочницы
Атака на WebXR требует, чтобы пользователь открыл специально собранную HTML-страницу. Перейти по ссылке жертву убеждают методами социальной инженерии. Ошибка типа use after free - обращение к памяти после её освобождения - позволяет выполнить код вне песочницы браузера. CISA присвоила CVE-2026-121076 оценку CVSS 9.6, Google относит её к высокому уровню опасности.
Похожая ошибка в WebGL описана в CVE-2026-79235. Она затрагивает Chrome до версии 152.0.7977.65 и тоже даёт исполнение кода вне песочницы. Запись опубликовали в августе, теперь исправление доходит до ChromeOS. Отдельный случай - CVE-2026-121241: use after free в Navigation, но только в Chrome на Android. Условие то же: открыть подготовленную страницу. Оценка CISA здесь также 9.6.
Остальные ошибки с исполнением кода ограничены песочницей. Type confusion в CacheStorage (CVE-2026-121233) ломает разбор типов объектов. Use after free в Animation (CVE-2026-121201) срабатывает при работе с анимацией. Обе записи CISA оценила в 8.8 по CVSS.
Утечка данных и обход политики происхождения
Чтение за границами буфера в компоненте Media описано в двух записях. CVE-2026-121208 Google относит к высокому уровню опасности, CVE-2026-121184 - к среднему. CISA дала обеим 8.8 по CVSS. Код в этом случае остаётся внутри песочницы, но получить его выполнение всё равно реально.
Неинициализированный ресурс в Images (CVE-2026-121213) позволяет прочитать данные другого сайта. Причина - память, которую компонент не заполнил перед использованием. Ошибка в Platform (CVE-2026-121135) даёт обход политики происхождения: страница получает доступ к тому, что браузер обычно изолирует. В Editing нашли недостаточную проверку входных данных (CVE-2026-121141), тоже с обходом политики происхождения. Здесь нужна социальная инженерия, а Google ставит записи низкий уровень опасности.
Ссылки
