Chrome 154 - это обновление безопасности, которое исправляет 108 уязвимостей, одиннадцать из которых являются критическими. По данным издания PCWorld, ни одна из исправленных ошибок пока не эксплуатировалась злоумышленниками в реальных атаках.
Обновление безопасности Chrome 154
Новые версии имеют маркировку 154.0.8037.57/58 для Windows и macOS и 154.0.8037.57 для Linux. Помимо исправлений безопасности, Chrome 154 не приносит никаких новых функций, отмечает PCWorld. Согласно тому же изданию, Google обнаружил 76 уязвимостей собственными силами, а оставшиеся 32 были сообщены внешними исследователями. Им компания на данный момент выплатила вознаграждения на общую сумму 18 000 долларов. Издание SecurityWeek отметило, что итоговая сумма может оказаться выше, поскольку решения по выплатам за большинство внешне выявленных уязвимостей еще не приняты.
Критические ошибки в ANGLE и других компонентах
Три критические уязвимости представляют собой переполнение буфера в графической библиотеке ANGLE для WebGL. Это подтверждают издания CybersecurityNews, GBHackers, SecurityWeek и PCWorld. Среди критических ошибок, по информации CybersecurityNews и SecurityWeek, также числятся ошибки типа use-after-free в компонентах ServiceWorker, Fullscreen, WindowDialog и AdFilter.
Наиболее серьезной исправленной ошибкой, по данным CybersecurityNews, является CVE-2026-95350 - переполнение буфера в ANGLE. О ней сообщили Билли Джен Бин Джонг (Billy Jheng Bing Jhong), Мухаммад Алифа Рамдхан (Muhammad Alifa Ramdhan) и Пань Чжэньпэн (Pan Zhenpeng) из STAR Labs SG Pte. Ltd., а вознаграждение за нее составило 5 000 долларов. В движке JavaScript V8 Google исправил ошибки типа type confusion и запись за пределами границ массива. Уязвимость CVE-2026-95306, как сообщают CybersecurityNews и GBHackers, была обнаружена компанией OpenAI Codex Security.
Распределение по степени серьезности
- 11 критических уязвимостей
- 25 с высоким уровнем риска
- 47 со средним уровнем риска
- 25 с низким уровнем риска
По данным PCWorld, среди исправлений преобладают ошибки use-after-free (34), а также 12 случаев некоторого отображения в пользовательском интерфейсе, 12 ошибок проверки прав и 11 отсутствующих разрешений. SecurityWeek написал, что девять критических уязвимостей были обнаружены внешними исследователями. GBHackers упомянул инструменты, помогающие Google находить дефекты: AddressSanitizer, MemorySanitizer, UndefinedBehaviorSanitizer, Control Flow Integrity, libFuzzer и AFL.
Мобильные версии и Chrome 155
На этой неделе Google также выпустил Chrome для Android версии 154.0.8037.57 и Chrome для iOS версии 154.0.8037.55. Версия для Android устраняет те же уязвимости, что и десктопная версия. Канал Extended Stable для Windows и macOS теперь содержит Chromium 152.0.7977.140, а выход Chrome 155 ожидается примерно через две недели. Согласно CybersecurityNews и GBHackers, Google ограничивает доступ к деталям некоторых уязвимостей до тех пор, пока обновление не установит большинство пользователей. В публикации в блоге Chrome Releases Сринивас Систа (Srinivas Sista) перечисляет все 108 исправленных уязвимостей и указывает, что 76 из них нашел сам Google, написал PCWorld.