הפגיעות CVE-2026-111497 במפענח Brotli של גוגל כבר כוסתה כתיקון ל-Node.js, אבל הבאג יושב בספרייה עצמה. כל תוכנה שמפענחת תוכן Brotli ממקור לא מהימן עשויה להיות חשופה, כולל כלים שלא קשורים ל-Node.js.
מה קרה
נתונים דחוסים שנוצרו בזדון גורמים לכתיבה מעבר לסוף מאגר הזיכרון. התוצאה האפשרית היא קריסה, דליפת זיכרון או הרצת קוד. גוגל, שהקצתה את ה-CVE, דירגה אותו 9.2 (CVSS 4.0), ו-Red Hat דירגה 8.1. לפי הדיווח, התיקון בקוד המקור נכנס כבר בפברואר, אך גרסת ספרייה שכוללת אותו יצאה רק ב-21 באוקטובר.
| רכיב | גרסה מתוקנת |
|---|---|
| Brotli (C) | 1.0.10 / 1.1.1 / 1.2.1 |
| Bun | 1.4.4 |
| Python Brotli | 1.2.1 |
| Python brotlicffi | 1.2.1.0 |
| Envoy | 1.36.12, 1.37.8, 1.38.6, 1.39.3, 1.40.0 |
| Istio | 1.29.9, 1.30.6, 1.31.2 |
| ניצול בפועל | לא דווח |
חוקרי Imperva הדגימו הרצת קוד על build רשמי של Node.js 24.22.0 בארכיטקטורת ARM64, בלי לפרסם את האקספלויט.
נקודות לשים לב
- עדכן כל רכיב שמפענח Brotli, ואחר כך הפעל מחדש שירותים ובנה מחדש תמונות קונטיינר, כי תהליכים רצים ממשיכים להשתמש במפענח הישן.
- ב-Envoy וב-Istio החשיפה קיימת רק אם פענוח Brotli מוגדר. בדוק את התצורה שלך.
- בפייתון בדוק ידנית אם החבילות
Brotliו-brotlicffiמותקנות; סורקים עלולים לפספס אותן. הסרתן מחזירה את הלקוחות ל-gzip ול-deflate. - אם אי אפשר לעדכן מיד, דחה בקשות עם
Content-Encoding: brלפני הפענוח. הסרתbrמ-Accept-Encodingלבדה אינה מספיקה, כי שרת יכול לשלוח Brotli בכל מקרה.
מקורות: The Hacker News · Google Brotli releases
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
