Brotli: transbordo de memória no descodificador permite execução de código através de dados comprimidos
A biblioteca Google Brotli, nas versões 1.0.3 a 1.2.0, tem um transbordo de memória no descodificador que permite a um atacante remoto, com um fluxo comprimido manipulado, ler memória, causar falha do serviço ou possivelmente executar código. Consta do catálogo KEV da CISA. CVSS 9,8.
- Identificador: CVE-2026-111497
- Publicado em: 2026-10-22
- Pontuação CVSS (Common Vulnerability Scoring System) versão 3.1: 9.8 (CRITICAL)
Descrição (texto original em inglês):
A buffer overflow vulnerability in the Brotli decoder (c/dec/decode.c) in Google Brotli versions 1.0.3 through 1.2.0 on all platforms allows a remote unauthenticated attacker to corrupt adjacent decoder state memory, disclose sensitive memory contents, cause a denial of service, or potentially execute arbitrary code using a crafted Brotli-compressed stream. Users need to update any Brotli libraries or binaries between 1.0.3 through 1.2.0 to the latest available version: 1.0.10 or 1.1.1 or 1.2.1.
- Prova de conceito (PoC) público: identificada pela ferramenta de pesquisa.
- Técnica MITRE ATT&CK (mapeamento do site, com base no tipo de falha descrito no NVD): T1190, Exploração de aplicação exposta à Internet (Exploit Public-Facing Application)
Fontes
- Registo do CVE no NVDnvd.nist.gov
- Referência (nodejs.org)nodejs.org
- Referência (www.openwall.com)www.openwall.com
- Referência (www.openwall.com)www.openwall.com
- Técnica MITRE ATT&CK T1190attack.mitre.org
Esta página resume as fontes indicadas. Confirme os detalhes técnicos e as versões afetadas na fonte primária antes de agir.