[TLP:CLEAR] Google Brotli opravuje 1 kritickú zraniteľnosť

Google Brotli verziami 1.0.10, 1.1.1 a 1.2.1 opravuje 1 kritickú zraniteľnosť [1]. V prípade, že aktualizácia nie je možná, odporúča sa na úrovni WAF/proxy blokovať prichádzajúce požiadavky s hlavičkou Content-Encoding: br [2]. V Pythone môžu byť balíky Brotli/brotlicffi stiahnuté nepriamo cez závislosti HTTP klientov a skenery ich nemusia identifikovať; ako dočasné riešenie sa odporúča ich odinštalovať, vďaka čomu klienti automaticky prejdú na gzip a deflate [2]. Aktívne zneužívanie zatiaľ nebolo hlásené, ale objavili sa neoverené PoC [3]. Ďalšie podrobnosti, vrátane príkazov na kontrolu verzií populárnych balíkov/nástrojov s brotli je možné nájsť na [2]. Jednotlivé vydania Linux distribúcií a ich opravené verzie: Ubuntu [4]: brotli: čaká na vyhodnotenie vo všetkých verziách node.js: zraniteľný len pre verziu Focal, zatiaľ nebola vydaná opravená verzia Debian [5]: brotli: bookworm (security) - 1.0.9-2+deb12u1 trixie (security) - 1.1.0-2+deb13u1 sid - 1.2.0-4.1 python-brotlicffi: sid - 1.2.1.0+ds-1 nodejs: Pre vydania bookworm, trixie, forky a sid zatiaľ nebola vydaná opravená verzia Red Hat [6]: Žiadny z dotknutých Red Hat produkov zatiaľ nemá opravy, okrem Red Hat Hardened Images (brotli-main) - RHSA-2026:87420 Populárne projekty, ktoré knižnicu Brotli používajú a ich opravené verzie: Node.js [7] - 22.23.4, 24.22.1 a 26.12.1 Bun [8] - 1.4.4 .NET [9] - 8.0.33, 9.0.22, 10.0.14 a 11.0.0-rc.3.26522.148 Envoy [10] - 1.36.12, 1.37.8, 1.38.6, 1.39.3 a 1.40.0 Istio [11] - 1.29.9, 1.30.6 a 1.31.2 Python Brotli [12] - 1.2.1 Python brotlicffi [13] - 1.2.1.0

Google Brotli - RCE, DoS (CVE-2026-111497)
CVSS 9.2 (Critical)

Neautentizovanému vzdialenému útočníkovi je pomocou špeciálne vytvoreného dátového toku komprimovaného algoritmom brotli, umožnené narušiť pamäť stavu dekodéra, odhaliť citlivý obsah pamäte, spôsobiť DoS alebo spustiť ľubovoľný kód [1].

Zraniteľnosť sa nachádza v produktoch:

  • Google Brotli vo verziách (>=1.0.3 AND <1.0.10) OR (>=1.1.0 AND <1.1.1) OR (>=1.2.0 AND <1.2.1)
  • Node.js vo verziách (>=22.0 AND <22.23.4) OR (>=24.0 AND <24.22.1) OR (>=26.0 AND <26.12.1)
  • .NET vo verziách (>=8.0.0 AND <8.0.33) OR (>=9.0.0 AND <9.0.22) OR (>=10.0.0 AND <10.0.14)

CVSS: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Viac informácií:

Za CESNET-CERTS Ondrej Pavlovič dňa 26. 10. 2026.

CESNET-CERTS Logo