Cloudflare-მა Brotli-ს CVE-2026-111497-ისთვის გადაუდებელი WAF წესები დაამატა

გადაუდებელი გამოშვება ორ წესს ამატებს

Cloudflare-მა Cloudflare Managed Ruleset-ისთვის 2026 წლის 25 ოქტომბრით დათარიღებული გადაუდებელი WAF გამოშვება გამოაქვეყნა. გამოშვება Brotli-ს მოწყვლადობასთან (CVE-2026-111497) დაკავშირებულ ორ წესს ამატებს. ორივე წესი ნაგულისხმევად ჩართულია და მათი მოქმედება Log-ზეა დაყენებული. ამ ნაგულისხმევ მდგომარეობაში წესები შესაბამის მოთხოვნებზე ხილვადობას იძლევა, რათა მომხმარებლებმა გავლენა შეაფასონ და მხოლოდ შემდეგ გადაწყვიტონ, დაბლოკონ თუ არა ისინი.

პირველი წესი აღწერილია როგორც Brotli - Request Content-Encoding - CVE:CVE-2026-111497. მისი წესის ID მითითებულია როგორც …ca706f3c. მეორე წესი აღწერილია როგორც Next.js - Image Optimizer Path - CVE:CVE-2026-111497. მისი წესის ID მითითებულია როგორც …402fe5bb. წყარო ორივეს ახალ ამოცნობად აღწერს. თითოეულის წინა მოქმედება არ არის ხელმისაწვდომი, ხოლო ახალი მოქმედება Log-ია.

წესების ქცევა და ნაგულისხმევი პარამეტრები

Brotli-ს წესი ემთხვევა შემომავალ მოთხოვნებს, რომლებიც Content-Encoding: br-ით Brotli-ს მოთხოვნის სხეულის კოდირებას აცხადებენ. ეს მოიცავს კანონიერ კლიენტებსაც, რომლებიც Brotli-თი დაკოდირებულ მოთხოვნის სხეულებს აგზავნიან. წესი არ ემთხვევა Accept-Encoding: br-ს და არ მოქმედებს Cloudflare-ის Brotli-ს პასუხის შეკუმშვის პარამეტრებზე. მისი ნაგულისხმევი მოქმედება Log-ია.

Next.js-ის წესი ემთხვევა Next.js-ის სურათის ოპტიმიზაციის ენდპოინტზე /_next/image გაგზავნილ მოთხოვნებს. ეს მოიცავს სურათის ოპტიმიზაციის კანონიერ ტრაფიკსაც. მისი ნაგულისხმევი მოქმედება Log-ია და ის მოთხოვნებს არ ბლოკავს. გამოშვება გვაფრთხილებს, რომ მოქმედების Block-ზე შეცვლამ შეიძლება ოპტიმიზებული სურათების ჩატვირთვა შეაფერხოს და დაარღვიოს სურათების მიწოდება იმ აპლიკაციებისთვის, რომლებიც ამ ენდპოინტს იყენებენ.

როდესაც წესების ნაკრების ნაგულისხმევი პარამეტრები გამოიყენება, ორივე წესი შესაბამის მოთხოვნებს აღრიცხავს და არ ბლოკავს. მომხმარებლებს შეუძლიათ ანალიტიკაში დამთხვევებს გადახედონ და, სურვილის შემთხვევაში, ნებისმიერი წესისთვის ბლოკირების მოქმედება დააყენონ. ამ წესების Log რეჟიმში ჩართვა მხოლოდ ხილვადობას იძლევა. ის ამ წესებთან დამთხვეულ მოთხოვნებს არ ბლოკავს.

მოქმედების გადაფარვები და განლაგების შემოწმება

გამოშვება არსებული მოქმედების გადაფარვების შემოწმების მნიშვნელობას ხაზს უსვამს. თუ წესების ნაკრების დონეზე მოქმედების გადაფარვა ამ წესებზე Block-ს აყენებს, შესაბამისი მოთხოვნები შეიძლება დაუყოვნებლივ დაიბლოკოს წესების განლაგებისთანავე, მათი ნაგულისხმევი Log მოქმედების მიუხედავად. ამან შეიძლება ცრუ დადებითი შედეგები გამოიწვიოს და კანონიერი ტრაფიკი დაბლოკოს. მომხმარებლებმა განლაგებამდე უნდა გადახედონ არსებულ წესების ნაკრების გადაფარვებს.

გუნდებისთვის, რომლებსაც სურთ წესების შეფასება ტრაფიკის დაბლოკვის გარეშე, გამოშვება რჩევას იძლევა, რომ დააყენონ თითოეული წესისთვის ცალკე გადაფარვები Log-ის გამოყენებით და Block-ზე გადასვლამდე შესაბამის მოთხოვნებს გადახედონ. ეს მიდგომა წესებს ხილვადობის რეჟიმში ტოვებს და გუნდებს დამთხვევების შეფასების საშუალებას აძლევს. გადაუდებელი გამოშვება Cloudflare Managed Ruleset-ის 2026 წლის 25 ოქტომბრის ცვლილებების ჟურნალის ნაწილია.

ადრინდელი გაშუქება: Imperva აჩვენებს Node2Shell RCE-ს Node.js-ზე სპეციალურად შექმნილი Brotli მონაცემებით

წყაროები: Cloudflare · The Hacker News · Microsoft