Wiz-ის კვლევა: Google-ის Brotli-ს ხარვეზმა ღრუბლოვანი გარემოების 90% დაუცველი დატოვა

Wiz-ის მონაცემებით, Google-ის Brotli-ს შეკუმშვის ტექნოლოგიაში არსებულმა ხარვეზმა ღრუბლოვანი გარემოს 90% დაუცველი დატოვა. კომპანიამ დაადგინა, რომ ღრუბლოვანი გარემოების 91% შეიცავს რესურსებს, რომლებიც CVE-2026-111497-ის მიმართ დაუცველია. პრობლემა Node.js-იდან დაიწყო, თუმცა ახლა ეხება Microsoft .NET-ს, Mozilla Firefox-სა და Thunderbird-ს, ისევე როგორც რამდენიმე Linux-ის სისტემას; გამოსწორებები კვლავ თანდათან ვრცელდება.

რა აღმოაჩინა Wiz-მა

Wiz-მა დაადგინა, რომ ღრუბლოვანი გარემოების 91% შეიცავს ხარვეზის მიმართ დაუცველ რესურსებს, ხოლო 82% შეიცავს ინტერნეტზე უშუალოდ გახსნილ Node.js-ის სისტემებს. Netflix, PayPal, Walmart, LinkedIn, Uber და NASA თავიანთი ონლაინ სერვისების ნაწილში Node.js-ს იყენებენ, ამიტომ ონლაინ მაღაზიები, სტრიმინგ სერვისები, საბანკო აპლიკაციები და კომპანიების ვებსაიტები შესაძლოა დაუცველ ინფრასტრუქტურაზე მუშაობდნენ და ამას ვერც აცნობიერებდნენ.

დაზარალებული პროგრამები და განახლებების სტატუსი

გამოსწორებები თანდათან ვრცელდება Node.js-ში, Bun-ში, Microsoft-ის .NET პლატფორმასა და Linux-ის სისტემებში, მათ შორის Debian-ში, Alpine-სა და Amazon Linux-ში. Ubuntu-სა და SUSE-ს გამოსწორება ჯერ კიდევ არ აქვთ, Red Hat-მა კი პრობლემა ჯერჯერობით მხოლოდ ნაწილობრივ გამოასწორა.

Red Hat-მა დაადასტურა, რომ Mozilla Firefox და Thunderbird პოტენციურად დაზარალებულ აპლიკაციებს შორის არიან, ისევე როგორც Node.js და ვებსერვერები, რომლებიც Brotli-ს შეკუმშულ ტრაფიკს ამუშავებენ. Microsoft-მა .NET-ისთვის უსაფრთხოების განახლებები გამოუშვა, თუმცა განაცხადა, რომ ძველი .NET Framework არ არის დაზარალებული და რომ ASP.NET Core და HttpClient ნაგულისხმევად Brotli-ს დეკომპრესიას არ იყენებენ.

ექსპლუატაციის რისკი

Red Hat-ის თქმით, საჯაროდ ხელმისაწვდომ proof-of-concept კოდს შეუძლია მეხსიერების დაზიანება და კრახები გამოიწვიოს, თუმცა საიმედო საჯარო ექსპლოიტი დისტანციური კოდის შესრულებისთვის ჯერ არ დაფიქსირებულა. გასულ კვირას Node.js-მა 10 უსაფრთხოების ხარვეზი გამოასწორა, მათ შორის Brotli-ს დეკოდერის სერიოზული ხარვეზი, რომელიც, გავრცელებული ინფორმაციით, OpenAI-ს უსაფრთხოების გუნდმა საკუთარი სისტემების ტესტირებისას აღმოაჩინა, ხოლო Node.js-ის დეველოპერებმა Matteo Collina-მ და Antoine du Hamel-მა გამოასწორეს.

ხარვეზის გამოყენება შესაძლებელია მაშინ, როცა დაუცველ პროგრამას აიძულებენ მავნე მონაცემების დეკომპრესია შეასრულოს. თუ პროგრამა თავდამსხმელისგან მიღებულ შეკუმშულ მონაცემებს ამუშავებს, სისტემაში შესვლა და საიდენტიფიკაციო მონაცემები საჭირო არ არის, შედეგი კი შეიძლება იყოს სენსიტიური ინფორმაციის გამჟღავნება, აპლიკაციის კრახი ან მავნე კოდის შესრულება.

რა უნდა გააკეთონ ორგანიზაციებმა

Wiz-ი აფრთხილებს, რომ დაუცველი კომპონენტები ფართოდაა გავრცელებული Kubernetes-ის კლასტერებში, ღრუბლოვან აპლიკაციებში, API-ს გეითვეიებში და კონტეინერიზებულ სერვისებში. კომპანიებმა პირველ რიგში უნდა განაახლონ ინტერნეტზე მიმართული სერვისები, რომლებიც არასანდო Brotli-ს მონაცემებს ამუშავებენ, შემდეგ ხელახლა ააწყონ დაზარალებული კონტეინერები და შეამოწმონ სხვა პროგრამები ჩაშენებული და მოძველებული Brotli-ს ასლების არსებობაზე.

სადაც გამოსწორება ჯერ არ არის ხელმისაწვდომი, არასანდო მონაცემებისთვის Brotli-ს დეკომპრესიის გამორთვამ შეიძლება რისკი შეამციროს.

ადრე გამოქვეყნებული მასალა: Cloudflare-მა Brotli-ს CVE-2026-111497 ხარვეზისთვის გადაუდებელი WAF წესები დაამატა

წყაროები: Cybernews · The Register