HTTP2Shell: Brotli propust pogađa i aplikacije izvan Node.js okruženja
CVE-2026-111497 može ugroziti aplikacije koje obrađuju nepouzdane Brotli podatke. Uticaj i dostupnost zakrpe zavise od proizvoda i načina upotrebe.
Šta se desilo?
JFrog je 25. oktobra 2026. pokazao da CVE-2026-111497 u Google Brotli dekoderu može da se dostigne i kroz .NET, FFmpeg, ClickHouse i Apache Arrow. U pitanju su različiti laboratorijski pokazatelji oštećenja memorije i uskraćivanja usluge; oni ne dokazuju izvršavanje koda u svakom proizvodu niti napade na stvarne korisnike.
Koga pogađa?
Izložene su aplikacije koje ranjivim dekoderom obrađuju podatke pod kontrolom napadača. Pogođene grane izvornog Brotli koda su 1.0.3-1.0.9, 1.1.0 i 1.2.0, ako zakrpa nije naknadno preneta. Samo prisustvo biblioteke ne dokazuje dostupnu putanju napada. Microsoft navodi da .NET Framework nije pogođen i da ASP.NET Core i HttpClient podrazumevano ne uključuju automatsku Brotli dekompresiju.
Kako se zaštititi?
- Popišite aplikacije koje dekodiraju Brotli podatke iz nepouzdanih izvora.
- Primenite Brotli 1.0.10, 1.1.1 ili 1.2.1, odnosno odgovarajuću zakrpu dobavljača.
- Ažurirajte Node.js na 22.23.4, 24.22.1 ili 26.12.1, odnosno novije izdanje podržane grane.
- Za .NET primenite runtime 8.0.33, 9.0.22 ili 10.0.14; za .NET 11 preview proverite izdanje 11.0.0-rc.3.26522.148.
- Ponovo izgradite i isporučite self-contained i NativeAOT aplikacije sa popravljenim komponentama.
- Do primene zakrpe ograničite obradu nepouzdanog Brotli sadržaja i proverite uticaj izmene konfiguracije.
Tehnički detalji
Greška u obradi neispravnog prelaza između blokova dovodi do upisa van granica bafera. JFrog opisuje padove .NET i ClickHouse procesa, oštećenje memorije kroz FFmpeg/libjxl obradu JPEG XL metapodataka i beskonačnu petlju u Arrow dekompresiji. ClickHouse ispravka je spojena u PR #127419; to samo po sebi nije potvrda izdatog paketa. Za FFmpeg i Arrow ovde nije potvrđena konkretna popravljena verzija.
Zašto je važno?
Ažuriranje jedne sistemske biblioteke ne mora da zameni kopije ugrađene u aplikacije. Provera zato treba da obuhvati izvršne datoteke, kontejnere i njihove zavisnosti, uz beleženje stvarno isporučene zakrpe.
Preporuka Sajber Radara
Prioritet dajte servisima koji prihvataju nepouzdane zahteve ili datoteke. Za svaki proizvod proverite izdanje dobavljača i ponovno pokretanje procesa. Ne izjednačavajte demonstraciju greške sa potvrđenom aktivnom eksploatacijom.
Dodatni izvori: Cyber Security News