Brotli: zranitelná dekomprese zasahuje i firewally a .NET

Dopad CVE-2026-111497 nekončí u Node.js. Nová oznámení ukazují, kdy chybný dekodér ohrožuje firewally Palo Alto Networks a aplikace .NET a proč nestačí aktualizovat jediný systémový balíček.

Palo Alto Networks 26. října zveřejnil přehled dopadů chyby Brotli na své produkty; při přípravě článku už bylo dostupné jeho aktualizované znění z 29. října. Zranitelnost vzniká při rozbalování speciálně připraveného komprimovaného vstupu. Zápis mimo meze paměti může způsobit únik informací, pád nebo potenciálně spuštění cizího kódu. Výrobce pro dopad na své produkty uvádí CVSS 4.0 ve výši 9,2.

U firewallů PA-Series a VM-Series je podstatná konfigurace datové roviny. Riziko se týká zařízení, která současně dešifrují TLS/SSL provoz a kontrolují obsah komprimovaný pomocí Brotli. Zranitelný vstup tak může pocházet i z odpovědi webu, s nímž komunikuje uživatel za firewallem. Nejde o chybu webového ani API rozhraní správy. Panorama a větve PAN-OS 10.2 a 11.1 podle výrobce postiženy nejsou; kontrola Brotli před verzí 11.2.4 není podporována a v novějších verzích je ve výchozím stavu vypnutá.

Aktuální tabulka výrobce uvádí opravy PAN-OS 12.2.4-h1; v řadě 12.1 verze 12.1.4-h13, 12.1.7-h11 a 12.1.10-h3; v řadě 11.2 pak 11.2.4-h23, 11.2.7-h23, 11.2.10-h17, 11.2.13-h4 a 11.2.16-h1. Jde o konkrétní opravené větve, nikoli o seznam navzájem zaměnitelných aktualizací. Před nasazením je nutné ověřit balíček pro používanou větev. Prisma Cloud Application Security Transporter Client vyžaduje verzi 0.2.9 nebo novější.

Dočasným opatřením pro dotčený firewall je vypnutí kontroly Brotli, nikoli vypnutí celého firewallu. Výrobce popisuje příkaz set system setting brotli-encoding disable a kontrolu výsledku pomocí show system setting brotli. U příslušných verzí je dostupné také nastavení Allow Brotli Encoding ve webové správě. Signatura Threat ID 97686 poskytuje jen částečné pokrytí, takže nenahrazuje opravu nebo doporučené omezení funkce.

Ilustrační zásilka s ukrytým mechanickým parazitem na balicí lince

Samostatné oznámení Microsoftu z 25. října řeší tentýž dekodér v .NET. Samotná instalace dotčeného runtime neznamená, že aplikace zpracovává nebezpečný vstup. Musí mít zapnutou dekompresi požadavků Brotli v ASP.NET Core, automatickou dekompresi odpovědí HttpClient nebo přímo používat BrotliStream či BrotliDecoder nad daty ovládanými útočníkem. ASP.NET Core ani HttpClient tuto dekompresi ve výchozí konfiguraci automaticky nezapínají. Klasický .NET Framework postižen není.

Opravy jsou v .NET 8.0.33, 9.0.22 a 10.0.14, pro předběžnou větev také v 11.0.0-rc.3. Microsoft hodnotí svůj případ jako vysokou závažnost s CVSS 3.1 ve výši 8,1. Odlišné skóre oproti firewallům vychází z jiného produktového kontextu a verze metodiky. U aplikací s přibaleným runtime nebo nativně kompilovanými částmi je potřeba aktualizovat i distribuované artefakty, znovu je sestavit a nasadit.

Společným problémem je opakované přibalení stejné knihovny do různých produktů. Oprava systémového Brotli sama nezmění kopii uvnitř aplikace, kontejneru nebo firmwaru. Pro inventuru je proto užitečné hledat konkrétní místa dekomprese nedůvěryhodných dat a následně ověřit skutečně běžící opravenou verzi. Zařazení CVE do katalogu KEV dokládá zneužívání zranitelnosti obecně; není samo o sobě důkazem útoků na každou z uvedených produktových variant.