Cloudflare-ը ավելացնում է արտակարգ WAF կանոններ Brotli CVE-2026-111497-ի համար

Արտակարգ թողարկումն ավելացնում է երկու կանոն

Cloudflare-ը հրապարակել է 2026 թվականի հոկտեմբերի 25-ով թվագրված արտակարգ WAF թողարկում Cloudflare Managed Ruleset-ի համար։ Թողարկումն ավելացնում է երկու կանոն՝ կապված Brotli CVE-2026-111497 խոցելիության հետ։ Երկու կանոններն էլ միացված են լռելյայն, և դրանց գործողությունը սահմանված է Log։ Այդ լռելյայն վիճակում կանոնները տեսանելիություն են ապահովում համընկնող հարցումների համար, որպեսզի հաճախորդները կարողանան գնահատել ազդեցությունը նախքան դրանք արգելափակելու ընտրությունը։

Առաջին կանոնը նկարագրվում է որպես Brotli - Request Content-Encoding - CVE:CVE-2026-111497։ Դրա կանոնի ID-ն նշված է որպես …ca706f3c։ Երկրորդ կանոնը նկարագրվում է որպես Next.js - Image Optimizer Path - CVE:CVE-2026-111497։ Դրա կանոնի ID-ն նշված է որպես …402fe5bb։ Աղբյուրը երկուսն էլ նկարագրում է որպես նոր հայտնաբերումներ։ Յուրաքանչյուրի նախորդ գործողությունը հասանելի չէ, իսկ նոր գործողությունը Log է։

Կանոնների վարքագիծը և լռելյայն արժեքները

Brotli կանոնը համընկնում է մուտքային հարցումների հետ, որոնք հայտարարում են Brotli հարցման մարմնի կոդավորում Content-Encoding: br-ի միջոցով։ Սա ներառում է օրինական հաճախորդներ, որոնք ուղարկում են Brotli-ով կոդավորված հարցման մարմիններ։ Կանոնը չի համընկնում Accept-Encoding: br-ի հետ և չի ազդում Cloudflare-ի Brotli պատասխանների սեղմման կարգավորումների վրա։ Դրա լռելյայն գործողությունը Log է։

Next.js կանոնը համընկնում է Next.js պատկերների օպտիմիզացման վերջնակետ /_next/image հասցեին ուղղված հարցումների հետ։ Սա ներառում է օրինական պատկերների օպտիմիզացման տրաֆիկ։ Դրա լռելյայն գործողությունը Log է, և այն չի արգելափակում հարցումները։ Թողարկումը զգուշացնում է, որ գործողությունը Block-ի փոխելը կարող է խանգարել օպտիմիզացված պատկերների բեռնմանը և խաթարել պատկերների առաքումը այս վերջնակետն օգտագործող հավելվածների համար։

Երբ օգտագործվում են ruleset-ի լռելյայն արժեքները, երկու կանոններն էլ գրանցում են համընկնող հարցումները՝ առանց դրանք արգելափակելու։ Հաճախորդները կարող են դիտել համընկնումները վերլուծություններում և ցանկության դեպքում կարգավորել արգելափակող գործողություն կանոններից որևէ մեկի համար։ Այս կանոնները Log ռեժիմում միացնելը ապահովում է միայն տեսանելիություն։ Այն չի արգելափակում այս կանոններին համընկնող հարցումները։

Գործողությունների վերասահմանումներ և տեղակայման ստուգումներ

Թողարկումը ընդգծում է առկա գործողությունների վերասահմանումները ստուգելու կարևորությունը։ Եթե ruleset մակարդակի գործողության վերասահմանումը կիրառում է Block այս կանոնների նկատմամբ, համընկնող հարցումները կարող են արգելափակվել կանոնների տեղակայման պահից անմիջապես հետո՝ չնայած դրանց լռելյայն Log գործողությանը։ Սա կարող է հանգեցնել կեղծ դրական արդյունքների և արգելափակել օրինական տրաֆիկը։ Հաճախորդները պետք է վերանայեն իրենց առկա ruleset վերասահմանումները մինչև տեղակայումը։

Թիմերի համար, որոնք ցանկանում են գնահատել կանոնները առանց տրաֆիկը արգելափակելու, թողարկումը խորհուրդ է տալիս կարգավորել կանոնին հատուկ վերասահմանումներ՝ Log օգտագործելու համար, և վերանայել համընկնող հարցումները նախքան Block-ի անցնելը։ Այս մոտեցումը կանոնները պահում է տեսանելիության ռեժիմում՝ թիմերին թույլ տալով գնահատել համընկնումները։ Արտակարգ թողարկումը Cloudflare Managed Ruleset-ի 2026 թվականի հոկտեմբերի 25-ի փոփոխությունների մատյանի մաս է։

Ավելի վաղ լուսաբանում. Imperva-ն ցուցադրում է Node2Shell RCE Node.js-ի վրա հատուկ պատրաստված Brotli տվյալների միջոցով

Աղբյուրներ. Cloudflare · The Hacker News · Microsoft