Microsoft biztonsági közleménye: a Google Brotli-dekódoló határon túli írása távoli kódfuttatást tesz lehetővé (CVE-2026-111497)

Mi történt

A Brotli-dekódolóban lévő határon túli írást egy speciálisan kialakított, Brotlival tömörített adatfolyam válthatja ki. A sérülékeny útvonal hálózaton keresztül, hitelesítés nélkül és felhasználói beavatkozás nélkül érhető el. Ezért, ha egy támadó tömörített adatot tud eljuttatni egy azt dekódoló szolgáltatáshoz, megsértheti a dekódoló szomszédos állapotát, érzékeny memóriatartalmakat fedhet fel, szolgáltatáskiesést okozhat, vagy akár tetszőleges kódot futtathat.

CISA 2026. október 27-én vette fel a CVE-2026-111497 azonosítót a Known Exploited Vulnerabilities (KEV) katalógusba, 2026. november 10-i határidővel. A CISA SSVC-értékelése a kihasználást aktívként tartja nyilván, az ENISA EUVD pedig 2026. október 27. óta jegyzi a kihasználást. A CVSS 4.0 pontszám 9,2 (kritikus).

Kit érint

Az érintett könyvtárverziók a Brotli 1.0.3-tól az 1.0.10-nél korábbi verziókig, a Brotli 1.1.0-tól az 1.1.1-nél korábbi verziókig, valamint a Brotli 1.2.0-tól az 1.2.1-nél korábbi verziókig terjednek. A Microsoft közleménye megjegyzi, hogy a hiba a Node.js 26.x, 24.x és 22.x verziókat érinti. A sérülékeny összetevő a Brotli-dekódoló, ezért a kitettség mindenhol fennáll, ahol egy érintett Brotli-könyvtár vagy bináris támadó által befolyásolt tömörített adatot dolgoz fel.

Mit kell most tenni

1. Frissítse a Brotli-könyvtárat egy javított kiadásra: a használt ágtól függően 1.0.10, 1.1.1 vagy 1.2.1.
2. Alkalmazza a közleményben megadott megfelelő termékfrissítést. A közleményben felsorolt javított buildek közé tartoznak a következők: 1.2.1-1, 8.0.427 — KB5133964, 9.0.320 — KB5133965, 10.0.403 — KB5133966, 11.0.100-rc.3.26522.148, 16.11.61, 17.14.43, 18.11.2, 18.12 Insiders 3, 7.6.9, 7.5.13, 7.4.22, 24.22.1-1, Prisma Cloud - Application Security Transporter Client >= 0.2.9, PAN-OS >= 12.2.4-h1, PAN-OS 11.1 >= 12.1.7-h11, PAN-OS 10.2 >= 11.2.7-h23, PAN-OS 10.2 >= 11.2.10-h17, PAN-OS 10.2 >= 11.2.13-h4, és PAN-OS 10.2 >= 11.2.16-h1.
3. Az érintett Node.js-telepítések esetén tekintse át a Node.js 2026. októberi biztonsági kiadásait.
4. A Microsoft közleménye nem sorol fel kerülő megoldásokat, ezért a biztonsági javítás az elsődleges biztonsági intézkedés. A CISA KEV-határideje 2026. november 10.; a javítás előtt vizsgálja felül az internetről való elérhetőséget, és ahol lehetséges, korlátozza az érintett szolgáltatások elérését.

Hogyan észlelhető

A Microsoft közleménye nem sorol fel kompromittálódásra utaló jeleket. Azoknál a szolgáltatásoknál, amelyek Brotlival tömörített bemenetet dekódolnak, figyelje az összeomlásokat, a dekódolási hibákat vagy a szokatlan memóriahasználatot; ha egy ilyen szolgáltatás az internet felől is elérhető, kezelje kitettként, és helyezze előtérbe a javítást vagy az elérés korlátozását.

A javításon túl

Mivel a CISA KEV és az ENISA aktív kihasználást tart nyilván, itt nem pusztán a javításra, hanem észlelésre és reagálásra is szükség van. Ezt a Menedzselt kiberbiztonsági felügyelet és az incidenskezelési készenléti szerződés fedi le. Ha a Brotli-dekódoló internet felől elérhető szolgáltatásban fut, a Virtuális CISO szolgáltatás keretében végzett felülvizsgálat feltárhatja a kitettséget.