Google Brotli kütüphanesindeki kritik açık çok sayıda HTTP yazılımını etkiliyor
Öne çıkanlar
- CVE-2026-111497 zafiyeti 9,2 CVSS skoruyla bellek bozulmasına ve kod yürütülmesine yol açıyor.
- Brotli 1.0.3 ile 1.2.0 arasındaki sürümleri kullanan Node.js, Python, Envoy ve curl projeleri etkilendi.
- Zafiyetin giderilmesi için Brotli 1.2.1 ve brotlicffi 1.2.1.0 sürümlerine geçilmesi gerekiyor.
Google tarafından geliştirilen veri sıkıştırma kütüphanesi Brotli üzerinde CVE-2026-111497 koduyla kritik bir güvenlik açığı tespit edildi. İlk olarak Node.js ekosisteminde "Node2Shell" adıyla duyurulan zafiyetin Python, C++, Bun, Envoy ve curl gibi popüler araçları da kapsadığı ortaya çıktı. CVSS skoru 9,2 olarak belirlenen hata, kimlik doğrulaması gerektirmeyen saldırganların bellek sızıntısı oluşturmasına ve uzaktan kod çalıştırmasına olanak tanıyor.
Söz konusu güvenlik açığı, Brotli kod çözücüsünün 1.0.3 ile 1.2.0 arasındaki tüm sürümlerinde yer alan bir sınır dışı yazma (out-of-bounds write) hatasından kaynaklanıyor. Kötü niyetli olarak hazırlanan veri akışları küçük bir çalışma arabelleğini taşırarak bellek alanını bozuyor. OpenAI araştırmacılarının şubat ayında tespit ettiği hata temel kod tabanında düzeltilse de güvenlik riski olarak etiketlenmediği için ekosisteme dağıtılan resmi paketler savunmasız kaldı.
Güvenlik uzmanları, etkilenen ortamlarda Brotli kütüphanesinin 1.2.1 sürümüne ve Python tarafındaki brotlicffi paketinin 1.2.1.0 sürümüne yükseltilmesini önerdi. Güncelleme yapılamayan sunucularda Brotli desteğinin geçici olarak kapatılması veya HTTP istek başlıklarındaki sıkıştırma parametrelerinin engellenmesi tavsiye edildi. Güvenlik veritabanları açığı ilgili PyPI paketleriyle henüz eşleştirmediği için geliştiricilerin bağımlılıklarını elle denetlemesi gerekiyor.
Bu özet yapay zekâ ile hazırlanmıştır; ayrıntılar ve doğrulama için orijinal kaynağa başvurun.