V kompresní knihovně Brotli byla nalezena kritická zranitelnost CVE-2026–111497, pojmenovaná jako Broccoli2Shell. Má hodnocení CVSS 9,2 a při zpracování speciálně připravených komprimovaných dat může útočníkovi umožnit vzdálené spuštění kódu bez autentizace. Chyba se týká dekodéru Brotli a zranitelná je aplikace tehdy, když dekóduje data, která může ovlivnit útočník.
Brotli se používá pro kompresi obsahu na webu i v řadě aplikací a běhových prostředí. Zranitelné verze knihovny jsou 1.0.3 až 1.2.0. Opravy vyšly ve verzích 1.0.10, 1.1.1 a 1.2.1 v příslušných vývojových větvích.
Správcům systémů se doporučuje prověřit nejen samostatně instalovanou knihovnu, ale také závislosti a komponenty, které mohou obsahovat vlastní kopii dekodéru. Poté je třeba nasadit opravené verze příslušných balíčků či aplikací. Do doby aktualizace je vhodné omezit zpracování nedůvěryhodných dat komprimovaných pomocí Brotli.
ČLÁNKY DO MAILU