Brotli kütüphanesindeki güvenlik açıkları ve geciken yamalar endişe yaratıyor
Öne çıkanlar
- HTTP2Shell açığı, Brotli kod çözücüsündeki sekiz baytlık arabellek taşmasından kaynaklandı.
- Google'ın şubat ayında yazdığı bellek onarımı resmi sürüme ancak sekiz ay sonra eklendi.
- Geçmişteki bellek tüketimi yamasının kullanıcılara ulaşması ve belgelenmesi 400 günden fazla sürdü.
Google tarafından geliştirilen veri sıkıştırma algoritması Brotli'nin C referans kütüphanesinde ortaya çıkan bellek bozulması ve hizmet engelleme açıkları, yazılım dünyasında güvenlik süreçlerine yönelik tartışmaları alevlendirdi. HTTP2Shell olarak adlandırılan güvenlik zafiyetinin temelinde, kötü niyetli Brotli yükleriyle tetiklenebilen bir bellek taşması sorunu yer aldı. Güvenilmeyen kullanıcı girdilerini doğrudan işleyen web sunucuları bu durum nedeniyle doğrudan hedef haline geldi.
Kütüphanenin bakım ve sürüm süreçlerinde yaşanan uzun gecikmeler eleştirilerin ana odağını oluşturdu. Google'ın söz konusu bellek taşması hatasını Şubat 2026'da düzeltmesine rağmen yeni sürümü ancak Ekim 2026'da yayımladığı bildirildi. Benzer bir sürecin sıkıştırma bombalarına karşı alınan önlemlerde de yaşandığı, Eylül 2024'te hazırlanan bir yamanın resmi sürüme dönüşmesinin 400 günden fazla sürdüğü ve yetersiz belgelendirme yüzünden urllib3 gibi popüler paketlerde yeni güvenlik açıklarına yol açtığı aktarıldı.
GitHub deposunda açıkta bekleyen sınır dışı okuma açıkları ve düzensiz sürüm takvimi, geliştiricilerin kütüphaneye olan güvenini sarstı. Sınırlı bakım kaynakları nedeniyle eleştirilen C referans uygulamasını kullanan ekipler, Brotli desteğini devre dışı bırakmayı veya Rust tabanlı alternatif çözümlere geçmeyi değerlendirmeye başladı.
Bu özet yapay zekâ ile hazırlanmıştır; ayrıntılar ve doğrulama için orijinal kaynağa başvurun.