Недавно обнаруженная уязвимость в декодере Brotli от Google, связанная с повреждением памяти, затрагивает множество программ, использующих распаковку данных, сжатых с помощью Brotli. Среди затронутых приложений находятся Bun, пакеты Brotli и brotlicffi для Python, а также прокси-серверы Envoy, настроенные на декомпрессию Brotli. Уязвимость, зарегистрированная под номером CVE-2026-111497, позволяет злоумышленникам создавать специально подготовленные сжатые данные, которые могут перезаписывать память за пределами выделенного буфера.

Это может привести к серьезным последствиям, включая возможность удаленного выполнения кода (RCE) в уязвимых приложениях. Проблема заключается в том, что многие разработчики используют библиотеку Brotli для обработки сжатых данных, что делает эту уязвимость особенно опасной для широкого спектра программного обеспечения.

Исследователи безопасности предупреждают, что подобные уязвимости могут быть использованы для атак на серверные приложения и другие компоненты, работающие с пользовательскими данными. Важно отметить, что уязвимость затрагивает не только Node.js, но и другие популярные языки программирования и платформы, что увеличивает ее потенциальный вред.

Разработчикам настоятельно рекомендуется обновить используемые библиотеки и программное обеспечение до последних версий, в которых эта уязвимость была устранена. В случае невозможности обновления, следует рассмотреть возможность отключения функций, связанных с обработкой Brotli, чтобы минимизировать риск эксплуатации.

Безопасность программного обеспечения остается важной задачей для разработчиков и организаций, использующих подобные технологии. Уязвимости, подобные CVE-2026-111497, подчеркивают необходимость регулярного мониторинга и обновления программного обеспечения для защиты от потенциальных угроз.

Источник новости:
The Hacker News

Читать полностью