A Brotli hibáját már kihasználják, a .NET is érintett
Egy speciálisan összeállított tömörített adatfolyammal hitelesítés nélkül is támadható a Brotli sebezhető változata. A hibát a CISA szerint már kihasználják, és a Microsoft is kritikusként kezeli.
Frissítés (2026. november 2.): újabb cikkünk az ügyről
Három Ivanti-hibát láncolnak a támadók, hogy bejelentkezés nélkül futtassanak kódot
Fontos
Aktívan kihasznált, kritikus: CVSS 9.2, Microsoft: kritikus
Frissíteni kell az érintett Brotli-változatokat
A CVE-2026-111497 azonosítójú hiba a Google nyílt forráskódú tömörítőkönyvtárának kitömörítést végző részét érinti. A sérülékenység a Brotli 1.0.3-tól 1.2.0-ig terjedő verzióiban minden platformon jelen van.
A leírás szerint a felhasználóknak az érintett könyvtárakat és futtatható állományokat az elérhető 1.0.10, 1.1.1 vagy 1.2.1 verzióra kell frissíteniük. A Node.js 2026. október 21-én hozta nyilvánosságra a hibát, amely a Node.js-en túl más szoftvereket is érint.
Adatok szivároghatnak ki, kód is futhat
A támadó egy erre készített Brotli-adatfolyammal megrongálhatja a kitömörítést végző program memóriájának szomszédos területeit. A hiba érzékeny memóriatartalmat fedhet fel, szolgáltatásmegtagadást okozhat, és akár tetszőleges kód futtatását is lehetővé teheti.
A sérülékenység CVSS-pontszáma 9,2, ami kritikus műszaki súlyosságot jelez. A CISA 2026. október 27-én felvette a hibát a bizonyítottan kihasznált sérülékenységek listájára. Az amerikai szövetségi szervek számára előírt javítási határidő 2026. november 10.
A Microsoft és a Siemens termékei is érintettek
A Microsoft az érintett termékek között sorolja fel a Windowsra, Linuxra és Mac OS-re telepített .NET 8.0, 9.0 és 10.0 változatokat, valamint az Azure Linux 3.0 azl3 brotli 1.1.0-2 csomagját. A vállalat a hibát kritikusnak minősíti, a javítást a KB5133964, a KB5133965 és a KB5133966 jelű frissítéshez köti.
A Siemens listáján a Heliox Dual Port 60kW, a Heliox Flex Pro, a SICHARGE FLEX, a SICHARGE UC és a VersiCharge AC Series. A felsorolásban megtalálható a Sifinity Go, a Sifinity Setup, a VersiCloud és a Cloud Connector Configurator is. Ezekhez a forrás nem ad meg sérülékeny vagy javított verziókat.
Az ügy eddig
- Hivatalos Node.js-kiadáson is sikerült kódot futtatni a Brotli hibájával
- Már kihasználják a Brotli hibáját, a Microsoft soron kívül javította a .NET-ben
- A Brotli hibáját már kihasználják, a .NET is érintett (ez a cikk)
- Három Ivanti-hibát láncolnak a támadók, hogy bejelentkezés nélkül futtassanak kódot
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum