Вразливість Google Brotli залишає 90% хмарних середовищ уразливими, виявила Wiz

Вразливість у технології стиснення Google Brotli залишила 90% хмари під загрозою, за даними Wiz, яка виявила, що 91% хмарних середовищ містять ресурси, уразливі до CVE-2026-111497. Проблема почалася в Node.js, але тепер стосується Microsoft .NET, Mozilla Firefox і Thunderbird, а також кількох систем Linux, тоді як оновлення продовжують виходити.

Що виявила Wiz

Wiz виявила, що 91% хмарних середовищ містять ресурси, уразливі до цієї вразливості, а 82% мають системи Node.js, безпосередньо відкриті в інтернеті. Netflix, PayPal, Walmart, LinkedIn, Uber і NASA покладаються на Node.js для частини своїх онлайн-послуг, тому онлайн-магазини, стрімінгові сервіси, банківські застосунки та корпоративні сайти можуть працювати на уразливій інфраструктурі, навіть не усвідомлюючи цього.

Уражене програмне забезпечення та стан оновлень

Оновлення виходять у Node.js, Bun, платформі Microsoft .NET і системах Linux, зокрема Debian, Alpine і Amazon Linux. Ubuntu та SUSE ще не мають виправлення, а Red Hat наразі виправила проблему лише частково.

Red Hat підтвердила, що Mozilla Firefox і Thunderbird належать до потенційно уражених застосунків, поряд із Node.js і вебсерверами, що обробляють трафік, стиснений Brotli. Microsoft випустила оновлення безпеки для .NET, але заявила, що старіший .NET Framework не уражений, а ASP.NET Core і HttpClient за замовчуванням не використовують розпакування Brotli.

Ризик експлуатації

Публічний код proof-of-concept може спричинити пошкодження пам'яті та збої, за даними Red Hat, але надійного публічного експлойта для віддаленого виконання коду не спостерігали. Node.js минулого тижня виправив 10 вразливостей безпеки, зокрема серйозну вразливість декодера Brotli, яку, за повідомленнями, знайшла команда безпеки OpenAI під час тестування власних систем, а виправили розробники Node.js Matteo Collina і Antoine du Hamel.

Вразливість можна використати, ввівши в оману уражене програмне забезпечення, щоб воно розпакувало шкідливі дані. Вхід і облікові дані не потрібні, якщо програмне забезпечення обробляє стиснені дані від зловмисника, а результатом можуть бути розкриття конфіденційної інформації, збої застосунків або виконання шкідливого коду.

Що мають робити організації

Wiz попереджає, що уразливі компоненти поширені в кластерах Kubernetes, хмарних застосунках, шлюзах API та контейнеризованих сервісах. Компаніям слід спочатку виправити сервіси, які доступні з інтернету та обробляють ненадійні дані Brotli, потім перебудувати уражені контейнери та перевірити інше програмне забезпечення на наявність вбудованих застарілих копій Brotli.

Якщо виправлення ще недоступне, вимкнення розпакування Brotli для ненадійних даних може знизити ризик.

Раніше висвітлювали: Cloudflare додає екстрені правила WAF для вразливості Brotli CVE-2026-111497

Джерела: Cybernews · The Register