Google Brotli açığı, Wiz'e göre bulut ortamlarının %90'ını savunmasız bırakıyor

Google'ın Brotli sıkıştırma teknolojisindeki bir açık, Wiz'e göre bulutun %90'ını savunmasız bıraktı; Wiz, bulut ortamlarının %91'inin CVE-2026-111497 açığına karşı savunmasız kaynaklar içerdiğini buldu. Sorun Node.js'te başladı, ancak artık Microsoft .NET, Mozilla Firefox ve Thunderbird ile çeşitli Linux sistemlerini de etkiliyor; yamalar gelmeye devam ediyor.

Wiz ne buldu?

Wiz, bulut ortamlarının %91'inin bu açığa karşı savunmasız kaynaklar içerdiğini ve %82'sinde Node.js sistemlerinin doğrudan internete açık olduğunu buldu. Netflix, PayPal, Walmart, LinkedIn, Uber ve NASA çevrim içi hizmetlerinin bir kısmında Node.js kullanıyor; bu nedenle çevrim içi mağazalar, akış hizmetleri, bankacılık uygulamaları ve şirket web siteleri savunmasız altyapı üzerinde çalışıp bunu fark etmeyebilir.

Etkilenen yazılımlar ve yama durumu

Yamalar Node.js, Bun, Microsoft'un .NET platformu ve Debian, Alpine ve Amazon Linux dahil Linux sistemleri genelinde yayınlanıyor. Ubuntu ve SUSE henüz düzeltme sunmuyor, Red Hat ise sorunu şu ana kadar yalnızca kısmen yamadı.

Red Hat, Mozilla Firefox ve Thunderbird'in Node.js ve Brotli sıkıştırmalı trafiği işleyen web sunucularıyla birlikte potansiyel olarak etkilenen uygulamalar arasında olduğunu doğruladı. Microsoft .NET için güvenlik güncellemeleri yayımladı, ancak eski .NET Framework'ün etkilenmediğini ve ASP.NET Core ile HttpClient'ın varsayılan olarak Brotli sıkıştırma açmasını kullanmadığını söyledi.

İstismar riski

Red Hat'a göre herkese açık kavram kanıtı kodu bellek bozulması ve çökmelere yol açabilir, ancak güvenilir herkese açık uzaktan kod çalıştırma istismarı gözlemlenmedi. Node.js geçen hafta Brotli kod çözücü açığı da dahil 10 güvenlik açığını yamadı; bu ciddi açığı OpenAI'nin güvenlik ekibi kendi sistemlerini test ederken bulduğu bildiriliyor ve Node.js geliştiricileri Matteo Collina ile Antoine du Hamel düzeltti.

Hata, savunmasız yazılımı kötü amaçlı verinin sıkıştırmasını açmaya kandırarak istismar edilebilir. Yazılım saldırgandan gelen sıkıştırılmış veriyi işliyorsa giriş veya kimlik bilgisi gerekmez; sonuçta hassas bilgilerin açığa çıkması, uygulama çökmesi veya zararlı kod çalışması olabilir.

Kuruluşlar ne yapmalı?

Wiz, savunmasız bileşenlerin Kubernetes kümeleri, bulut uygulamaları, API ağ geçitleri ve konteynerleştirilmiş hizmetler genelinde yaygın olduğu konusunda uyarıyor. Şirketler önce güvenilmeyen Brotli verilerini işleyen internete açık hizmetleri yamalamalı, ardından etkilenen konteynerleri yeniden oluşturmalı ve diğer yazılımlarda paketlenmiş, güncel olmayan Brotli kopyalarını kontrol etmelidir.

Henüz düzeltme yoksa güvenilmeyen veriler için Brotli sıkıştırma açmasını kapatmak riski azaltabilir.

Önceki haber: Cloudflare, Brotli CVE-2026-111497 açığına karşı acil WAF kuralları ekliyor

Kaynaklar: Cybernews · The Register