ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
يحتوي Google Brotli على ثغرة عدم التحقق من القيمة المُعادة والتي تسمح لمهاجم عن بُعد غير مصدق له بإفساد ذاكرة حالة فك الضغط المجاورة، أو كشف محتويات الذاكرة الحساسة، أو التسبب في حجب الخدمة، أو احتمالية تنفيذ تعليمات برمجية عشوائية باستخدام تدفق مضغوط بتقنية Brotli معد خصيصاً.
المعالجة
الإجراء المطلوب من CISAتطبيق التخفيفات وفقاً لتعليمات المورد، مع ضمان الامتثال لتوجيهات CISA BOD 26-04 بشأن إعطاء الأولوية لتحديثات الأمان بناءً على المخاطر (انظر الرابط في الملاحظات) ومتطلبات فرز الأدلة الجنائية لـ CISA. اتبع توجيهات BOD 26-04 المعمول بها لخدمات السحابة أو أوقف استخدام المنتج إذا كانت التخفيفات غير متوفرة. أصحاب المصلحة مسؤولون عن تقييم تعرض كل أصل للإنترنت وضمان الالتزام بإرشادات الترقيع في BOD 26-04.
المراجع
- تصحيحhttps://nodejs.org/en/blog/vulnerability/october-2026-security-releases#nodejs-brotli-decoder-out-of-bounds-write-permits-remote-code-execution-cve-2026-111497---high
- تحذيرhttps://github.com/advisories/GHSA-9v8h-qqgm-4m35
- تحذيرhttps://nvd.nist.gov/vuln/detail/CVE-2026-111497
- تحذيرhttps://github.com/google/brotli/releases/tag/v1.2.1
- تحذيرhttps://github.com/dotnet/announcements/issues/494
- تحذيرhttps://www.aikido.dev/blog/node2shell-nodejs-brotli-rce-cve-2026-111497
- تحذيرhttps://patchtheplanet.org/brotli
- تحذيرhttps://lists.debian.org/debian-lts-announce/2026/10/msg00049.html
- تحذيرhttps://github.com/andybalholm/brotli/releases/tag/v1.2.7
- تحذيرhttps://broccoli2shell.com
- تحذيرhttps://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk
- تحذيرhttps://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk