Cloudflare Brotli CVE-2026-111497 üçün təcili WAF qaydaları əlavə edir

Təcili Buraxılış İki Qayda Əlavə Edir

Cloudflare, Cloudflare Managed Ruleset üçün 25 oktyabr 2026 tarixli təcili WAF buraxılışı dərc edib. Buraxılış Brotli zəifliyi CVE-2026-111497 ilə bağlı iki qayda əlavə edir. Hər iki qayda standart olaraq aktivdir və onların hərəkəti Log olaraq təyin edilib. Bu standart vəziyyətdə qaydalar uyğun sorğular üçün görünürlük təmin edir ki, müştərilər onları bloklamağı seçməzdən əvvəl təsiri qiymətləndirə bilsinlər.

Birinci qayda Brotli - Request Content-Encoding - CVE:CVE-2026-111497 kimi təsvir olunur. Onun qayda ID-si …ca706f3c kimi göstərilib. İkinci qayda Next.js - Image Optimizer Path - CVE:CVE-2026-111497 kimi təsvir olunur. Onun qayda ID-si …402fe5bb kimi göstərilib. Mənbə hər ikisini yeni aşkarlamalar kimi təsvir edir. Hər biri üçün əvvəlki hərəkət mövcud deyil, yeni hərəkət isə Log-dur.

Qayda Davranışı və Standartlar

Brotli qaydası Content-Encoding: br vasitəsilə Brotli sorğu gövdəsi kodlaşdırması elan edən daxil olan sorğularla uyğunlaşır. Buraya Brotli ilə kodlanmış sorğu gövdələri göndərən qanuni müştərilər də daxildir. Qayda Accept-Encoding: br ilə uyğunlaşmır və Cloudflare-in Brotli cavab sıxma parametrlərinə təsir etmir. Onun standart hərəkəti Log-dur.

Next.js qaydası Next.js şəkil optimallaşdırma son nöqtəsi /_next/image ünvanına edilən sorğularla uyğunlaşır. Buraya qanuni şəkil optimallaşdırma trafiki də daxildir. Onun standart hərəkəti Log-dur və sorğuları bloklamır. Buraxılış xəbərdarlıq edir ki, hərəkəti Block-a dəyişmək optimallaşdırılmış şəkillərin yüklənməsinə mane ola bilər və bu son nöqtədən istifadə edən tətbiqlər üçün şəkil çatdırılmasını poza bilər.

Ruleset standartları istifadə edildikdə, hər iki qayda uyğun sorğuları bloklamadan qeyd edir. Müştərilər analitikada uyğunluqları nəzərdən keçirə və istəsələr hər hansı qayda üçün bloklama hərəkəti konfiqurasiya edə bilərlər. Bu qaydaları Log rejimində aktivləşdirmək yalnız görünürlük təmin edir. Bu qaydalarla uyğunlaşan sorğuları bloklamır.

Hərəkət Üzərinə Yazmaları və Yerləşdirmə Yoxlamaları

Buraxılış mövcud hərəkət üzərinə yazmalarını yoxlamağın vacibliyini vurğulayır. Əgər ruleset səviyyəsində hərəkət üzərinə yazması bu qaydalara Block tətbiq edirsə, standart Log hərəkətlərinə baxmayaraq qaydalar yerləşdirilən kimi uyğun sorğular bloklana bilər. Bu, yanlış pozitivlərə səbəb ola bilər və qanuni trafiki bloklaya bilər. Müştərilər yerləşdirmədən əvvəl mövcud ruleset üzərinə yazmalarını nəzərdən keçirməlidirlər.

Trafiki bloklamadan qaydaları qiymətləndirmək istəyən komandalar üçün buraxılış qaydaya xas üzərinə yazmaları Log istifadə etmək üçün konfiqurasiya etməyi və Block-a keçməzdən əvvəl uyğun sorğuları nəzərdən keçirməyi məsləhət görür. Bu yanaşma qaydaları görünürlük rejimində saxlayaraq komandalara uyğunluqları qiymətləndirməyə imkan verir. Təcili buraxılış 25 oktyabr 2026 üçün Cloudflare Managed Ruleset dəyişiklik jurnalının bir hissəsidir.

Əvvəlki işıqlandırma: Imperva Node.js üzərində Node2Shell RCE-ni xüsusi hazırlanmış Brotli məlumatları ilə nümayiş etdirir

Mənbələr: Cloudflare · The Hacker News · Microsoft