Google-ի Brotli թերությունը ամպային միջավայրերի 90%-ը բաց է թողնում, Wiz-ը պարզել է

Google-ի Brotli սեղմման տեխնոլոգիայում թերությունը Wiz-ի տվյալներով ամպային միջավայրի 90%-ը բաց է թողել, և ընկերությունը պարզել է, որ ամպային միջավայրերի 91%-ը պարունակում է CVE-2026-111497-ից խոցելի ռեսուրսներ: Խնդիրը սկսվել է Node.js-ում, սակայն այժմ ազդում է Microsoft .NET-ի, Mozilla Firefox-ի և Thunderbird-ի, ինչպես նաև մի քանի Linux համակարգերի վրա, մինչդեռ թարմացումները շարունակում են տարածվել:

Ինչ է պարզել Wiz-ը

Wiz-ը պարզել է, որ ամպային միջավայրերի 91%-ը պարունակում է թերությունից խոցելի ռեսուրսներ, իսկ 82%-ը ունի Node.js համակարգեր, որոնք ուղղակիորեն բաց են ինտերնետին: Netflix-ը, PayPal-ը, Walmart-ը, LinkedIn-ը, Uber-ը և NASA-ն իրենց առցանց ծառայությունների որոշ մասերում հենվում են Node.js-ի վրա, ուստի առցանց խանութները, հեռարձակման ծառայությունները, բանկային հավելվածները և ընկերությունների կայքերը կարող են աշխատել խոցելի ենթակառուցվածքի վրա՝ առանց դա գիտակցելու:

Ազդեցության ենթարկված ծրագրային ապահովումը և թարմացումների կարգավիճակը

Թարմացումները տարածվում են Node.js-ում, Bun-ում, Microsoft-ի .NET հարթակում և Linux համակարգերում, այդ թվում Debian-ում, Alpine-ում և Amazon Linux-ում: Ubuntu-ն և SUSE-ը դեռ չունեն հասանելի ուղղում, մինչդեռ Red Hat-ը մինչ այժմ միայն մասամբ է ուղղել խնդիրը:

Red Hat-ը հաստատել է, որ Mozilla Firefox-ը և Thunderbird-ը պոտենցիալ ազդեցության ենթարկված հավելվածների շարքում են՝ Node.js-ի և Brotli-ով սեղմված տրաֆիկը մշակող վեբ սերվերների հետ միասին: Microsoft-ը թողարկել է .NET-ի անվտանգության թարմացումներ, սակայն ասել է, որ հին .NET Framework-ը չի տուժում, իսկ ASP.NET Core-ը և HttpClient-ը լռելյայն չեն օգտագործում Brotli ապասեղմումը:

Շահագործման ռիսկը

Հանրային proof-of-concept կոդը, Red Hat-ի տվյալներով, կարող է առաջացնել հիշողության վնասում և վթարներ, սակայն հուսալի հանրային հեռակա կոդի կատարման շահագործում չի նկատվել: Node.js-ը անցած շաբաթ ուղղել է 10 անվտանգության խոցելիություն, այդ թվում լուրջ Brotli դեկոդերի թերությունը, որը OpenAI-ի անվտանգության թիմը ըստ հաղորդումների գտել է սեփական համակարգերի փորձարկման ժամանակ, իսկ Node.js մշակողներ Matteo Collina-ն և Antoine du Hamel-ը ուղղել են:

Թերությունը կարող է շահագործվել՝ խոցելի ծրագրային ապահովումը խաբելով, որպեսզի այն ապասեղմի վնասակար տվյալները: Մուտք կամ հավատարմագրեր պետք չեն, եթե ծրագրային ապահովումը մշակում է հարձակվողից ստացված սեղմված տվյալները, իսկ արդյունքը կարող է լինել զգայուն տեղեկատվության բացահայտում, հավելվածի վթար կամ վնասակար կոդի կատարում:

Ինչ պետք է անեն կազմակերպությունները

Wiz-ը զգուշացնում է, որ խոցելի բաղադրիչները լայնորեն տարածված են Kubernetes կլաստերներում, ամպային հավելվածներում, API դարպասներում և կոնտեյներացված ծառայություններում: Ընկերությունները նախ պետք է ուղղեն ինտերնետին բաց այն ծառայությունները, որոնք մշակում են չվստահելի Brotli տվյալները, ապա վերակառուցեն ազդեցության ենթարկված կոնտեյներները և ստուգեն այլ ծրագրային ապահովումը՝ փաթեթավորված, հնացած Brotli պատճենների առկայության համար:

Որտեղ դեռ ուղղում չկա, չվստահելի տվյալների համար Brotli ապասեղմումը անջատելը կարող է նվազեցնել ռիսկը:

Ավելի վաղ լուսաբանումը: Cloudflare-ը ավելացնում է արտակարգ WAF կանոններ Brotli CVE-2026-111497 թերության համար

Աղբյուրներ: Cybernews · The Register