Google Brotli çatışmazlığı bulud mühitlərinin 90%-ni riskə atır, Wiz tapıb

Wiz-ə görə, Google-un Brotli sıxılma texnologiyasındakı çatışmazlıq buludun 90%-ni riskə atıb; qurum tapıb ki, bulud mühitlərinin 91%-ində CVE-2026-111497 zəifliyinə həssas resurslar var. Problem Node.js-də başlasa da, indi Microsoft .NET, Mozilla Firefox və Thunderbird, eləcə də bir neçə Linux sistemini əhatə edir, yeniləmələr isə yayılmağa davam edir.

Wiz nə tapdı

Wiz tapıb ki, bulud mühitlərinin 91%-ində bu çatışmazlığa həssas resurslar var, 82%-ində isə Node.js sistemləri birbaşa internetə açıqdır. Netflix, PayPal, Walmart, LinkedIn, Uber və NASA onlayn xidmətlərinin bir hissəsi üçün Node.js-dən istifadə edir, buna görə onlayn mağazalar, striminq xidmətləri, bank tətbiqləri və şirkət saytları həssas infrastruktur üzərində işləyə bilər və bunun fərqində olmaya bilərlər.

Təsirə məruz qalan proqramlar və yeniləmə vəziyyəti

Yeniləmələr Node.js, Bun, Microsoft-un .NET platforması və Debian, Alpine və Amazon Linux daxil olmaqla Linux sistemləri üzrə yayılır. Ubuntu və SUSE hələ də düzəlişə malik deyil, Red Hat isə indiyədək problemi yalnız qismən həll edib.

Red Hat təsdiqləyib ki, Mozilla Firefox və Thunderbird potensial təsirə məruz qalan tətbiqlər arasındadır; onlarla yanaşı Node.js və Brotli ilə sıxılmış trafiki emal edən veb serverlər də risk altındadır. Microsoft .NET üçün təhlükəsizlik yeniləmələri buraxıb, lakin köhnə .NET Framework-un təsirlənmədiyini və ASP.NET Core ilə HttpClient-in default olaraq Brotli dekompressiyasından istifadə etmədiyini bildirib.

İstismar riski

Red Hat-ə görə, ictimai proof-of-concept kodu yaddaşın pozulmasına və qəzalara səbəb ola bilər, lakin etibarlı ictimai uzaqdan kod icrası istismarı müşahidə edilməyib. Node.js ötən həftə Brotli dekoderindəki ciddi çatışmazlıq da daxil olmaqla 10 təhlükəsizlik zəifliyini həll edib; bu çatışmazlığı OpenAI-nin təhlükəsizlik komandasının öz sistemlərini test edərkən aşkar etdiyi bildirilir və onu Node.js tərtibatçıları Matteo Collina və Antoine du Hamel düzəldiblər.

Bu xəta zəif proqramı zərərli məlumatları dekompressiya etməyə aldatmaqla istismar edilə bilər. Proqram hücumçudan sıxılmış məlumat emal edirsə, giriş və ya etimadnamə tələb olunmur; nəticədə həssas məlumatların ifşası, tətbiqin qəzası və ya zərərli kodun icrası ola bilər.

Təşkilatlar nə etməlidir

Wiz xəbərdarlıq edir ki, həssas komponentlər Kubernetes klasterləri, bulud tətbiqləri, API qapıları və konteynerləşdirilmiş xidmətlər arasında geniş yayılıb. Şirkətlər əvvəlcə etibarsız Brotli məlumatını emal edən internetə açıq xidmətləri yeniləməli, sonra təsirlənmiş konteynerləri yenidən qurmalı və digər proqramlarda birlikdə gələn köhnə Brotli nüsxələrini yoxlamalıdır.

Hələ düzəliş mövcud olmayan yerlərdə etibarsız məlumat üçün Brotli dekompressiyasını söndürmək riski azalda bilər.

Əvvəlki materiallar: Cloudflare Brotli CVE-2026-111497 çatışmazlığı üçün təcili WAF qaydaları əlavə edir

Mənbələr: Cybernews · The Register