Небезопасное управление привилегиями в Chrome, Edge и Astra Linux ведёт к отказу в обслуживании

Компонент Actor в браузерах Google Chrome и Microsoft Edge содержит уязвимость BDU:2026-16472 (CVE-2026-79090). Удалённый злоумышленник может вызвать отказ в обслуживании, если пользователь откроет специально созданную HTML-страницу. Проблема выходит за пределы браузеров и затрагивает Debian GNU/Linux 12 и 13, а также Astra Linux Special Edition 1.8. Базовая оценка по CVSS 3.1 достигает 9,8 из 10, уровень опасности в Банке данных угроз безопасности информации (BDU) - критический.

CVE-2026-79090 в Chrome, Edge и Linux-дистрибутивах

Ошибка относится к небезопасному управлению привилегиями (CWE-269). Такой класс дефектов означает, что программа неверно распределяет права доступа. Часть кода получает больше полномочий, чем требует её задача, и это расширяет возможности того, кто сумеет повлиять на её работу. В BDU уязвимость попадает в класс архитектурных: просчёт заложен в логике компонента, а не в отдельной вычислительной операции.

Вектор CVSS 3.1 описывает атаку по сети. Предварительная аутентификация не нужна, участие пользователя ограничено открытием страницы. Вкладка с подобранным содержимым перестаёт отвечать, окно браузера закрывается, сеанс обрывается. В описании BDU речь идёт именно об отказе в обслуживании, то есть о потере доступа к программе, а не о краже данных или запуске чужого кода.

Здесь есть расхождение, заметное при чтении бюллетеня. Вектор CVSS 3.1 присваивает высокие оценки воздействию на конфиденциальность, целостность и доступность. Итоговые 9,8 складываются из всех трёх составляющих, тогда как текст описания ограничен отказом в обслуживании. Что происходит с данными при успешной эксплуатации, открытые материалы не раскрывают. По более старой шкале CVSS 2.0 оценка равна 10.

Кого затрагивает проблема

Перечень продуктов широкий. В него попали Google Chrome для Windows, Linux и macOS, Microsoft Edge, Debian GNU/Linux 12 и 13, Astra Linux Special Edition 1.8. Последняя входит в единый реестр российских программ и применяется в госсекторе и на промышленных объектах. Debian лежит в основе множества серверных сборок и внутренних репозиториев. Общий предок у Chrome и Edge - движок Chromium, поэтому одна и та же ошибка проявляется в обоих браузерах, а Linux-дистрибутивы наследуют её вместе с пакетом браузера.

Для рабочих станций риск выше, чем для серверов. Браузер на рабочем ноутбуке открывает десятки сторонних страниц в день, и ни одна из них не проходит предварительную проверку на подобные дефекты. В Astra Linux браузер поставляется пакетом chromium, поэтому исправление приходит не из канала Google, а из репозитория дистрибутива. Разрыв между релизом у вендора браузера и сборкой пакета для Linux-дистрибутива - обычная практика, и в этот промежуток защита зависит от ограничений, выставленных администратором.

Версии с исправлением

Google закрыл проблему в Chrome 152.0.7977.64 для Windows и Linux и в 152.0.7977.65 для macOS. Microsoft исправил её в Edge 152.0.4191.53. Для Astra Linux обновлённый пакет chromium - 153.0.8010.36 или более высокая версия. Debian отслеживает статус исправления в своём трекере безопасности.

Если установить обновление нельзя, BDU отсылает к методическому документу ФСТЭК России от 25 декабря 2022 года о безопасной настройке операционных систем Linux. Документ задаёт базовые ограничения для учётных записей и служб, которые снижают свободу действий при эксплуатации подобных дефектов. Обновление браузера в этом случае остаётся первым шагом, а настройка окружения - вторым.

Браузер остаётся главным каналом, через который на рабочую машину попадает внешнее содержимое. Дефект в распределении прав внутри него превращает обычную страницу в инструмент давления на программу. Установка свежей версии закрывает конкретный сценарий. Дальше всё зависит от того, насколько регулярно в организации обновляют и браузеры, и пакеты дистрибутива.

CVE-2026-79090 в Chrome, Edge и Linux-дистрибутивах

Кого затрагивает проблема

Версии с исправлением

Ссылки