Cloudflare מוסיפה כללי WAF חירום עבור Brotli CVE-2026-111497

שחרור חירום מוסיף שני כללים

Cloudflare פרסמה שחרור WAF חירום מתאריך 25 באוקטובר 2026 עבור Cloudflare Managed Ruleset. השחרור מוסיף שני כללים הקשורים לפגיעות Brotli CVE-2026-111497. שני הכללים מופעלים כברירת מחדל, והפעולה שלהם מוגדרת ל-Log. במצב ברירת מחדל זה, הכללים מספקים נראות לבקשות תואמות כדי שלקוחות יוכלו להעריך את ההשפעה לפני בחירה לחסום אותן.

הכלל הראשון מתואר כ-Brotli - Request Content-Encoding - CVE:CVE-2026-111497. מזהה הכלל שלו מופיע כ-…ca706f3c. הכלל השני מתואר כ-Next.js - Image Optimizer Path - CVE:CVE-2026-111497. מזהה הכלל שלו מופיע כ-…402fe5bb. המקור מתאר את שניהם כזיהויים חדשים. הפעולה הקודמת עבור כל אחד אינה זמינה, והפעולה החדשה היא Log.

התנהגות כללים וברירות מחדל

כלל Brotli מתאים לבקשות נכנסות שמצהירות על קידוד גוף בקשה Brotli דרך Content-Encoding: br. זה כולל לקוחות לגיטימיים ששולחים גופי בקשה מקודדים ב-Brotli. הכלל אינו מתאים ל-Accept-Encoding: br, והוא אינו משפיע על הגדרות דחיסת תגובות Brotli של Cloudflare. פעולת ברירת המחדל שלו היא Log.

כלל Next.js מתאים לבקשות לנקודת הקצה לאופטימיזציית תמונות של Next.js /_next/image. זה כולל תעבורת אופטימיזציית תמונות לגיטימית. פעולת ברירת המחדל שלו היא Log, והוא אינו חוסם בקשות. השחרור מזהיר ששינוי הפעולה ל-Block עלול למנוע טעינה של תמונות מותאמות ולשבש אספקת תמונות עבור יישומים שמשתמשים בנקודת קצה זו.

כאשר משתמשים בברירות המחדל של מערך הכללים, שני הכללים רושמים בקשות תואמות בלי לחסום אותן. לקוחות יכולים לסקור התאמות באנליטיקה ולהגדיר פעולת חסימה עבור כל כלל אם ירצו. הפעלת כללים אלה במצב Log מספקת נראות בלבד. היא אינה חוסמת בקשות שמתאימות לכללים אלה.

עקיפות פעולה ובדיקות פריסה

השחרור מדגיש את החשיבות של בדיקת עקיפות פעולה קיימות. אם עקיפת פעולה ברמת מערך כללים מחילה Block על כללים אלה, בקשות תואמות עלולות להיחסם מיד כשהכללים נפרסים, למרות פעולת ברירת המחדל שלהם Log. זה עלול לגרום לחיוביים כוזבים ולחסום תעבורה לגיטימית. לקוחות צריכים לסקור את עקיפות מערך הכללים הקיימות שלהם לפני פריסה.

עבור צוותים שרוצים להעריך את הכללים בלי לחסום תעבורה, השחרור ממליץ להגדיר עקיפות ספציפיות לכלל כך שישתמשו ב-Log ולסקור בקשות תואמות לפני מעבר ל-Block. גישה זו משאירה את הכללים במצב נראות ומאפשרת לצוותים להעריך התאמות. שחרור החירום הוא חלק מיומן השינויים של Cloudflare Managed Ruleset עבור 25 באוקטובר 2026.

סיקור קודם: Imperva מדגימה RCE של Node2Shell על Node.js באמצעות נתוני Brotli מעוצבים

מקורות: Cloudflare · The Hacker News · Microsoft