Google Brotli açığı CVE-2026-111497: Node.js, Bun ve .NET risk altında

Google’ın Brotli çözücüsündeki CVE-2026-111497, özel olarak hazırlanmış sıkıştırılmış verinin belleğin sonunun ötesine yazmasına yol açıyor ve programın belleğini bozuyor. Sonuç çökme, bellek sızıntısı veya saldırganın kontrol ettiği kodun çalışması olabilir.

Açık, Brotli kodunu kendi kopyasıyla kullanan Bun, Microsoft .NET, Python Brotli ve brotlicffi paketleri ile Brotli çözümleme açık olan Envoy ve Istio’ya taşınıyor. Her program kendi kopyasını güncellemek zorunda. Brotli kaynak koduna düzeltme 27 Şubat’ta eklenmişti, ancak 21 Ekim’de yeni bir sürümle dağıtılmadan önce güvenlik açığı olarak bilinmiyordu.

Etkilenen ürünler ve risk yolları

Node.js ve Bun’da yerleşik fetch() işlevi Content-Encoding: br yanıtını okuduğunda veya Express 5 ve body-parser 2 bir Brotli yüklemesini çözdüğünde risk oluşur. Düz Node.js HTTP sunucusu istek gövdelerini kendiliğinden çözmez. .NET’te risk; ASP.NET Core istek çözümleme, HttpClient otomatik yanıt çözümü veya güvenilmeyen verinin BrotliStream ile BrotliDecoder’a verilmesiyle oluşur. İlk iki seçenek varsayılan olarak kapalıdır.

Python’da uygulamanın Brotli’yi doğrudan çağırması gerekmez. Brotli veya brotlicffi kuruluysa requests, urllib3, httpx ve aiohttp Brotli yanıtlarını kendileri çözebilir. Envoy ve Istio’da ise açık, örneğin bir Envoy filtresiyle etkinleştirilebilir; kapalıyken bu açığa erişilemez.

Kanıt ve derecelendirme

Imperva Red Team, saldırgan tarafından sağlanan kodun değiştirilmemiş Node.js 24.22.0 Linux ARM64 yapısında çalıştığını gösterdi. Exploit birkaç deneme gerektirdi, yayımlanmadı ve başka yapılarda test edilmedi. Node.js, Bun ve Envoy’yi etkilenen yazılımlar arasında sayan OpenAI, açığın kimlik doğrulaması gerektirmeyen uzak kod çalıştırmayı mümkün kılabildiğini belirtti.

Google açığı CVSS 4.0’da 9.2 ve kritik olarak puanladı; Node.js yüksek, Red Hat 8.1 ve önemli, Microsoft ise .NET için 8.1 ve yüksek diyor. Gerçek dünya saldırısı bildirilmedi; CISA’nın 23 Ekim değerlendirmesinde saldırı ve otomasyon olmadığı kaydedildi.

Güncelleme adımları

Ürünün kendi Brotli kopyasını güncelle. Sabit sürümü kurduktan sonra servisi yeniden başlat; çalışan süreç eski çözücüyü kullanmaya devam eder. Container kullanıyorsan imajı yeniden oluştur. Node.js için geçici çözüm yayımlanmadı, güncelleme tek düzeltmedir. Güncelleyemiyorsan güvenilmeyen Brotli verisini çözmeyi durdur. Accept-Encoding başlığından br kaldırmak tek başına yeterli değil; Vercel’in eklediği güvenlik duvarı kuralları da başka sunuculardan çekilen yanıtları kapsamıyor.

Sistem paketleri farklı tarihlerde düzeltiliyor. Debian 13’te 1.1.0-2+deb13u1, Debian 12’de 1.0.9-2+deb12u1, Amazon Linux 2023’te 24 Ekim’de Brotli ve Node.js 24 düzeltildi; openSUSE Tumbleweed’de Brotli ve Node.js 24 güncellendi. Ubuntu paketleri değerlendirme aşamasındaydı. Microsoft, .NET 8.0.33, 9.0.22 ve 10.0.14 sürümlerini 25 Ekim’de yayımladı; .NET Framework etkilenmiyor. Python bağımlılık denetleyicileri PYSEC-2026-4322 ve PYSEC-2026-4323 kayıtlarını geç algılayabilir; yüklü sürümleri elle kontrol et.