Brotli açığı Node.js, Bun ve Python paketlerini etkiliyor; güncelleme ve servis yeniden başlatma gerekiyor

CVE-2026-111497 kodlu bellek bozulması hatası, hazırlanmış sıkıştırılmış veriyle bir tamponun sonunun ötesine yazılmasına izin veriyor; etkilenen yazılımların her birinin kendi güncellemesi gerekiyor.

Google'ın Brotli sıkıştırma çözücüsündeki bir bellek bozulması hatası, CVE-2026-111497 olarak izleniyor. Hazırlanmış sıkıştırılmış veri, bir tamponun sonunun ötesine yazılmasına yol açabiliyor; sonuç programın çökmesinden saldırganın kontrol ettiği kod çalıştırmaya kadar uzanabiliyor. Brotli'yi kullanan her program kendi kopyasını taşıdığı için Bun, Node.js, Envoy, Istio ve birkaç Python paketinin ayrı ayrı güncellenmesi gerekiyor.

Imperva araştırmacıları, güncellenmemiş bir Node.js 24.22.0 sürümünde kod çalıştırılabildiğini gösterdi. Bu istismar kodu yayımlanmadı ve diğer sürümlerde test edilmedi. Şimdiye kadar gerçek saldırı bildirilmedi. Google açığa CVSS 4.0 ölçeğinde 9.2 ile kritik derecesi verirken, Red Hat 8.1 ile önemli olarak derecelendirdi.

Düzeltme Brotli kaynak koduna 27 Şubat'ta eklendi, ancak yeni bir Brotli sürümü bu değişikliği 21 Ekim'e kadar içermedi. Bu nedenle pratik çözüm, etkilenen çalışma zamanını ya da kütüphaneyi güncellemek ve servisleri yeniden başlatmak. Çalışan bir süreç eski çözücüyü taşımaya devam ettiğinden, konteyner imajlarının da yeniden oluşturulması gerekiyor.