✔Уязвимость Brash выводит из строя Chromium-браузеры - «Новости»

Серьезная уязвимость в движке Blink позволяет за считанные секунды вывести из строя многие браузеры на базе Chromium или спровоцировать «падение» всей системы. ИБ-исследователь Хосе Пино (Jose Pino) назвал эту проблему Brash и обнародовал PoC-эксплоит для нее. Суть проблемы заключается в том, что Blink не ограничивает частоту обновлений API document.title, что позволяет генерировать миллионы мутаций DOM в секунду. В результате это приводит экстренному завершению работы браузера и падению производительности системы, поскольку процесс оттягивает на себя практически все мощности CPU. «Это позволяет “уронить” любой Chromium-браузер за 15–60 секунд за счет архитектурной ошибки в управлении некоторыми операциями DOM», — поясняет Пино. Атака на проблему Brash проходит в три этапа. Подготовительная фаза: атакующий загружает в память 100 уникальных шестнадцатеричных строк по 512 символов, которые служат базой для циклической смены заголовка вкладки. Фаза инъекции: выполняются серии обновлений (по три подряд) document.title, что при конфигурации по умолчанию (burst: 8000, interval: 1 ms) дает примерно 24 млн обновлений в секунду. Фаза перегрузки главного потока. Непрерывные обновления загружают главный поток браузера, и в результате интерфейс перестает отвечать, вкладки зависают, и процесс приходится принудительно завершать. Исследователь пишет, что отдельная опасность Brash заключается в возможности точной активации по времени. Так, Brash можно скрыть в коде и заставить сработать в заранее заданный момент, превратив эксплоит в логическую бомбу. Достаточно клика по специально подготовленной ссылке — и вредоносный скрипт сработает тогда, когда это выгодно атакующему. Проблема затрагивает версии Chromium, начиная с 143.0.7483.0. Пино протестировал свой PoC-эксплоит на 11 популярных браузерах для Android, macOS, Windows и Linux: девять из них оказались уязвимы (включая Microsoft Edge, Brave, Opera, Vivaldi, Arc Browser, Dia Browser, OpenAI ChatGPT Atlas и Perplexity Comet). Устойчивыми перед такими атаками оказались лишь Firefox и Safari: они используют другие движки (Gecko и WebKit). Также защищены все браузеры для iOS, в силу обязательного требования по использованию WebKit. Эксперт уведомил о баге в команду безопасности Chromium еще в августе 2025 года, однако так и не дождался ответа от разработчиков. В итоге Пино опубликовал информацию об уязвимости и PoC-эксплоит, стремясь привлечь внимание к проблеме. Исследователь предупреждает, что из-за многочисленных кастомных модификаций Chromium, патчи, возможно, придется внедрять индивидуально в каждый отдельный продукт. После публикации отчета исследователя представители Google сообщили СМИ, что изучают проблему. В свою очередь, разработчики Brave отметили, что их браузер не имеет собственной логики вокруг document.title и внедрит исправление, когда оно появится в составе Chromium. Создатели других браузеров пока не комментировали ситуацию. Пока единственной защитой от Brash-атак является осторожность: пользователям не рекомендуется переходить по подозрительным ссылкам, а также сразу закрывать вкладки браузера при первых признаках зависания. Пино пишет, что техническое решение этой проблемы, которое должны создать разработчики Chromium (и продуктов на его основе), должно быть связано с ограничением частоты обновлений document.title и управлением потреблением ресурсов в Blink.