Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.

[TLP:CLEAR] Google Brotli opravuje 1 kritickou zranitelnost

Google Brotli verzemi 1.0.10, 1.1.1 a 1.2.1 opravuje 1 kritickou zranitelnost [1]. V případě, že aktualizace není možná, doporučuje se na úrovni WAF/proxy blokovat příchozí požadavky s hlavičkou Content-Encoding: br [2]. V Pythonu mohou být balíčky Brotli/brotlicffi staženy nepřímo přes závislosti HTTP klientů a skenery je nemusí identifikovat; jako dočasné řešení se doporučuje je odinstalovat, díky čemuž klienti automaticky přejdou na gzip a deflate [2]. Aktivní zneužívání zatím nebylo hlášeno, ale objevila se neověřená PoC [3]. Další podrobnosti, včetně příkazů pro kontrolu verzí populárních balíčků/nástrojů s brotli, lze nalézt na [2]. Jednotlivá vydání Linux distribucí a jejich opravené verze: Ubuntu [4]: brotli: čeká na vyhodnocení ve všech verzích node.js: zranitelný pouze pro verzi Focal, zatím nebyla vydána opravená verze Debian [5]: brotli: bookworm (security) - 1.0.9-2+deb12u1 trixie (security) - 1.1.0-2+deb13u1 sid - 1.2.0-4.1 python-brotlicffi: sid - 1.2.1.0+ds-1 nodejs: Pro vydání bookworm, trixie, forky a sid zatím nebyla vydána opravená verze Red Hat [6]: Žádný z dotčených produktů Red Hat zatím nemá opravy, kromě Red Hat Hardened Images (brotli-main) - RHSA-2026:87420 Populární projekty, které knihovnu Brotli používají, a jejich opravené verze: Node.js [7] - 22.23.4, 24.22.1 a 26.12.1 Bun [8] - 1.4.4 .NET [9] - 8.0.33, 9.0.22, 10.0.14 a 11.0.0-rc.3.26522.148 Envoy [10] - 1.36.12, 1.37.8, 1.38.6, 1.39.3 a 1.40.0 Istio [11] - 1.29.9, 1.30.6 a 1.31.2 Python Brotli [12] - 1.2.1 Python brotlicffi [13] - 1.2.1.0

Google Brotli - RCE, DoS (CVE-2026-111497)
CVSS 9.2 (Critical)

Neautentizovanému vzdálenému útočníkovi je pomocí speciálně vytvořeného datového toku komprimovaného algoritmem brotli umožněno narušit paměť stavu dekodéru, odhalit citlivý obsah paměti, způsobit DoS nebo spustit libovolný kód [1].

Zranitelnost se nachází v produktech:

  • Google Brotli; >=1.0.3, <1.0.10; >=1.1.0, <1.1.1; >=1.2.0, <1.2.1;
  • Node.js; >=22.0, <22.23.4; >=24.0, <24.22.1; >=26.0, <26.12.1;
  • .NET; >=8.0.0, <8.0.33; >=9.0.0, <9.0.22; >=10.0.0, <10.0.14;

CVSS: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Více informací:

Zranitelnost byla veřejně oznámena 22. 10. 2026.

Za CESNET, z.s.p.o. Ondrej Pavlovič dne 26. 10. 2026.

CESNET, z.s.p.o. Logo