Обновление Chrome 153: исправлены критические уязвимости в WebGPU и WebGL

Chrome 153: патчи на месте, пользователь — по расписанию

Это use-after-free в Dawn (внутренняя реализация WebGPU) и buffer overflow в WebGL. Сборки 153.0.8010.52/.53 ушли на Windows и macOS, 153.0.8010.52 — на Linux. Звучит как очередной «вторник патчей», но вчитайтесь: use-after-free в WebGPU — это когда браузер забывает, что уже освободил кусок памяти, и продолжает туда писать. Дальше — коррапт памяти, краш или выполнение кода через специально слепленную страницу.

Что именно закрыли

Самое неприятное — CVE-2026-93374, тот самый use-after-free в Dawn. Его прислал исследователь Florian Schweitzer ещё 8 апреля, и Google пять месяцев держал уязвимость в секрете. Вторая критическая — CVE-2026-93372, buffer overflow в WebGL: пишем в буфер больше, чем он вмещает, перетираем соседнюю память, получаем потенциальное исполнение кода. Внутри Google нашли этот баг 17 августа. Технические детали обоих Google традиционно не раскрывает — чтобы у пользователей было время обновиться до того, как эксплойты утекут в публичные базы. Тактика правильная, если бы пользователи ещё перезапускали браузер хотя бы раз в неделю.

Кроме критических, патч чинит восемь уязвимостей высокого уровня: некорректное разрешение ссылок в Tracing, use-after-free и buffer overflow в PDFium, кривую валидацию состояния в Skia, use-after-free в Extensions, ошибку авторизации в ORB и type confusion в V8. Последнее отдельно неприятно: V8 гоняет JavaScript с каждой открытой страницы, а type-конфузия — классическая точка входа для цепочек побега из песочницы. Менее опасные баги разбросаны по FileSystem, Omnibox, Permissions, DataTransfer, Storage, Paint и WebAppInstalls — гонки, утечки данных, недостаточные проверки прав, неверное отображение в интерфейсе.

Что делать прямо сейчас

Chrome обычно качает обновления сам, но без перезапуска ничего не применится — а у среднего пользователя вкладки висят открытыми с прошлого отпуска. Меню → «Справка» → «О Google Chrome», дождаться загрузки фикса и перезагрузить браузер. Компаниям — прогнать сборку через endpoint-менеджмент по всем Windows, macOS и Linux: критические дыры в WebGPU и WebGL ловятся через любой сайт с WebGL-контентом или рекламу с WebGPU-нагрузкой, идти на фишинг ради такого даже не обязательно.