Söz konusu yama, Google'ın geniş çapta kullanılan Brotli sıkıştırma kütüphanesindeki CVE-2026-111497 numaralı tampon taşması zafiyetini gideriyor. Bu güvenlik sorunu, OpenAI'ın Codex Security ekibinin kırmızı takım testleri sırasında tespit edildiği belirtildi.
Kritik zafiyet ve olası saldırı senaryoları
Microsoft'un resmi blog açıklamasına göre bu tampon taşması, yetkisiz bir saldırganın süreç belleğini okumasına veya bozmasına olanak tanıyabiliyor. Bu durum bilgi sızıntısına, hizmetin reddine veya yetki yükseltmesine yol açabilir. Güncelleme, .NET 8, 9, 10 sürümleri ile .NET 11 Release Candidate 3 sürümünü kapsıyor. Şirket, .NET ve Visual Studio için bu açıkleri 'kritik', PowerShell için ise 'önemli' olarak sınıflandırdı. Zafiyet hakkında 'daha olası' istismar riski taşırken, henüz aktif bir istismar raporlanmadı.
Geniş kapsamlı etki ve diğer yazılım paketleri
Brotli 1.0.3 ile 1.2.0 arasındaki sürümleri etkileyen bu açık, kütüphaneyi içine alan Node.js, Python paketleri, proxy sunucuları ve diğer araçları da etkiliyor. Node.js ve Google, 21 Ekim'de düzeltilmiş sürümleri yayımlarken, 1.0.10, 1.1.1 ve 1.2.1 sürümleri sorunu çözüyor. CVE kaydında Google tarafından 10 üzerinden 9.2 olarak puanlanan bu açık, Node2Shell, HTTP2Shell ve Broccoli2Shell adlarıyla da anılıyor. Node.js uyarısına göre, arka plan kodu geçersiz bir blok geçişini format hatası yerine daha fazla girdi ihtiyacı olarak değerlendirip 8 baytlık iç tampona veri eklemeye devam ediyordu.
Yönetim firmalarının risk değerlendirmeleri
Bulut güvenliği firması Wiz, blog gönderisinde bulut ortamındaki kaynakların %91'inin bu zafiyetten etkilendiğini, %82'sinde ise halka açık Node.js örneklerinin bulunduğunu bildirdi. Imperva, Linux ARM64 için resmi Node.js 24.22.0 imajında kendi kodunu çalıştırarak saldırının her seferinde başarılı olmadığını, ancak kanıtı kavramının GitHub'da yalnızca kasıtlı olarak zayıflatılmış bir derleme üzerinde çalıştığını belirtiyor. JFrog, FFmpeg, ClickHouse ve Apache Arrow projelerinde de aynı açığın bulunduğunu tespit etti. Açık kaynaklı izleme araçları, DuckDB, Apache Arrow, 7-Zip-zstd, p7zip ve EDK II gibi bazı projelerin henüz yamalanmadığına işaret ediyor. Uzmanlar, sistemin Brotli kütüphanesinin güncellenmesinin, kendi kopyasını içeren uygulamaları düzeltmeye yetmediği ve hizmetlerin yeniden başlatılması gerektiği konusunda uyarıyor.
Yorumlar (0)
Henüz yorum yok. İlk yorumu siz yazın.