CVE-2026-111497
KritikAktif istismar ediliyor (CISA KEV)
Açıklama
Tüm platformlarda Google Brotli 1.0.3 ile 1.2.0 arasındaki sürümlerde bulunan Brotli dekoderindeki (c/dec/decode.c) bir arabellek taşması zafiyeti; kimliği doğrulanmamış uzak bir saldırganın, özel olarak hazırlanmış bir Brotli sıkıştırılmış akışı kullanarak komşu dekoder durum belleğini bozmasına, hassas bellek içeriklerini ifşa etmesine, hizmet reddine neden olmasına veya potansiyel olarak rastgele kod çalıştırmasına olanak tanır. Kullanıcıların 1.0.3 ile 1.2.0 arasındaki tüm Brotli kütüphanelerini veya ikili dosyalarını mevcut en güncel sürüm olan 1.0.10, 1.1.1 veya 1.2.1'e güncellemeleri gerekmektedir.
ÖnemKritik
CVSS9.2
İstismar olasılığı100. yüzdelik%82,6
Ürün
Google Brotli
Yayın22 Eki 2026
İlk görülme22 Eki 2026
KEV'e eklenme27 Eki 2026
Zayıflık türüCWE-787Sınır dışı yazmaCWE-252CWE-252
Nasıl düzeltilir
CISA'nın istediği eylem
Üreticinin önerdiği önlemleri uygulayın. Önlem yoksa ürünü kullanmayı bırakın.
CISA son tarihi: 10 Kas 2026Güncelleyin
- brotli1.2.1 ya da sonraki bir sürüm
- brotlicffi1.2.1.0 ya da sonraki bir sürüm
- google brotli1.0.10, 1.1.1, 1.2.1 ya da sonraki bir sürüm
- nodejs node.js22.23.4, 24.22.1, 26.12.1 ya da sonraki bir sürüm
- python-hyper brotlicffi1.2.1.0 ya da sonraki bir sürüm
- microsoft .net8.0.33, 9.0.22, 10.0.14 ya da sonraki bir sürüm
- istio istio1.29.9, 1.30.6, 1.31.2 ya da sonraki bir sürüm
- anthropic bun1.4.4 ya da sonraki bir sürüm
- envoyproxy envoy1.37.8, 1.38.6, 1.39.3 ya da sonraki bir sürüm
- andybalholm brotli1.2.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| brotliPyPI | 1.0.3 ≤ v < 1.2.1, v < 1.2.1 | 1.2.1 |
| brotlicffiPyPI | 1.0.3 ≤ v < 1.2.1.0, v < 1.2.1.0 | 1.2.1.0 |
| google brotli | 1.0.3 ≤ v < 1.0.10, 1.1.0 ≤ v < 1.1.1, 1.2.0 ≤ v < 1.2.1 | 1.0.10, 1.1.1, 1.2.1 |
| nodejs node.js | v < 22.23.4, 23.0.0 ≤ v < 24.22.1, 25.0.0 ≤ v < 26.12.1 | 22.23.4, 24.22.1, 26.12.1 |
| python-hyper brotlicffi | v < 1.2.1.0 | 1.2.1.0 |
| microsoft .net | 8.0.0 ≤ v < 8.0.33, 9.0.0 ≤ v < 9.0.22, 10.0.0 ≤ v < 10.0.14, 11.0.0 | 8.0.33, 9.0.22, 10.0.14 |
| debian debian_linux | 12.0 | — |
| istio istio | v < 1.29.9, 1.30.0 ≤ v < 1.30.6, 1.31.0 ≤ v < 1.31.2 | 1.29.9, 1.30.6, 1.31.2 |
| anthropic bun | v < 1.4.4 | 1.4.4 |
| envoyproxy envoy | v < 1.37.8, 1.38.0 ≤ v < 1.38.6, 1.39.0 ≤ v < 1.39.3 | 1.37.8, 1.38.6, 1.39.3 |
| tianocore edk2 | v ≤ 202608 | — |
| google woff2 | Aralık belirtilmemiş | — |
| duckdb duckdb | v ≤ 2.0.0 | — |
| clickhouse clickhouse | v ≤ 26.10.2.103 | — |
| apache arrow | v ≤ 26.0.0, 27.0.0 | — |
| mcmilk 7-zip-zstd | v ≤ 26.02-1.5.7-r2 | — |
| 7-zip p7zip | v ≤ 16.02 | — |
| andybalholm brotli | v < 1.2.7 | 1.2.7 |
| siemens ruggedcom_ape1808_firmware | Aralık belirtilmemiş | — |
| siemens common_configurator | Aralık belirtilmemiş | — |
| siemens data_flow_monitoring | Aralık belirtilmemiş | — |
| siemens edge_opc_ua_server_configurator | Aralık belirtilmemiş | — |
| siemens flow_creator_configurator | Aralık belirtilmemiş | — |
| siemens industrial_edge_cloud_connector_configurator | Aralık belirtilmemiş | — |
| siemens industrial_edge_databus_configurator | Aralık belirtilmemiş | — |
| siemens industrial_edge_hub | Aralık belirtilmemiş | — |
| siemens industrial_edge_management_cloud | Aralık belirtilmemiş | — |
| microsoft azl3_brotli_1.1.0-2 | Aralık belirtilmemiş | — |
| microsoft .net_8.0_installed_on_windows | Aralık belirtilmemiş | — |
| microsoft .net_8.0_installed_on_linux | Aralık belirtilmemiş | — |
| microsoft .net_8.0_installed_on_mac_os | Aralık belirtilmemiş | — |
| microsoft .net_9.0_installed_on_windows | Aralık belirtilmemiş | — |
| microsoft .net_9.0_installed_on_linux | Aralık belirtilmemiş | — |
| microsoft .net_9.0_installed_on_mac_os | Aralık belirtilmemiş | — |
| microsoft .net_10.0_installed_on_windows | Aralık belirtilmemiş | — |
| microsoft .net_10.0_installed_on_linux | Aralık belirtilmemiş | — |
| microsoft .net_10.0_installed_on_mac_os | Aralık belirtilmemiş | — |
| microsoft .net_11.0_installed_on_windows | Aralık belirtilmemiş | — |
| microsoft .net_11.0_installed_on_linux | Aralık belirtilmemiş | — |
| microsoft .net_11.0_installed_on_mac_os | Aralık belirtilmemiş | — |
| microsoft microsoft_visual_studio_2019_version_16.11 | Aralık belirtilmemiş | — |
| microsoft visual_studio_2022 | Aralık belirtilmemiş | — |
| microsoft microsoft_visual_studio_2026_version_18.11 | Aralık belirtilmemiş | — |
| microsoft microsoft_visual_studio_2026_version_18.12 | Aralık belirtilmemiş | — |
| microsoft powershell | Aralık belirtilmemiş | — |
| microsoft microsoft_visual_studio_2017_version_15.9 | Aralık belirtilmemiş | — |
| microsoft azl3_p7zip_16.02-23 | Aralık belirtilmemiş | — |
| microsoft azl3_qemu_10.1.0-2 | Aralık belirtilmemiş | — |
| microsoft azl3_nodejs_24.21.0-1 | Aralık belirtilmemiş | — |
| microsoft azl3_qemu_10.1.0-1 | Aralık belirtilmemiş | — |
| microsoft visual_studio_2017 | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.