Microsoft și echipa Node.js grăbesc fix pentru Brotli

Cum funcționează scrierea dincolo?

O vulnerabilitate gravă în biblioteca de compresie Brotli a Google expune aplicațiile care folosesc decodorul afectat la execuție de cod arbitrar. Defectul, urmărit ca CVE-2026-111497, a fost identificat inițial în decodorul Brotli livrat cu Node. js.

Atacatorii pot exploata o scriere dincolo de limitele memoriei pentru a rula cod malicios.

Bug-ul permite atacatorilor să creeze date comprimate care declanșează corupere de memorie. Când o aplicație Node. js procesează aceste date, decodorul scrie dincolo de granițele memoriei alocate.

Ce înseamnă asta pentru utilizatorii Node?

Acest lucru poate duce la compromiterea completă a sistemului. Problema afectează versiunea specifică de Brotli livrată cu Node. js.

Vulnerabilitatea provine dintr-o eroare de securitate a memoriei în decodor. Intrarea creată special face ca decodorul să scrie date dincolo de capătul unui buffer. Acest lucru corupe memoria vecină, putând suprascrie pointeri de funcții sau adrese de return. Un atacator care controlează acea memorie poate redirecționa execuția programului către propriul său cod. Defectul este clasificat ca gravitate mare deoarece permite execuție de cod la distanță fără autentificare.

Dezvoltatorii Node. js trebuie să actualizeze imediat la o versiune corectată. Corecția adaugă verificări de limite înainte de operațiile de memorie, eliminând scrierea dincolo de limite. Aplicațiile care decompresiază date nesigure sunt cele mai expuse. Cele care procesează cereri web sau încărcări de fișiere ar trebui să prioriteze actualizarea.

Întrebări frecvente!

Se poate exploata CVE-2026-111497 la distanță? Da, atacatorii pot trimite date comprimate create special pentru a declanșa defectul.

Afectează toate versiunile Node. js? Nu, doar versiunile care livrează decodorul Brotli vulnerabil sunt afectate. Cât de repede trebuie să aplici corecția?

În termen de 24 ore pentru sistemele de producție care procesează intrări nesigure.