Teknoloji şirketleri ve yazılım projeleri, Google'ın açık kaynaklı sıkıştırma algoritması Brotli'deki kritik HTTP2Shell açığı için yamalar yayımladı. Açık, CVE-2026-111497 olarak izleniyor ve 10 üzerinden 9,2 önem puanı aldı.
Node2Shell ve Broccoli2Shell adlarıyla da anılan hata, sınır dışına yazma kusuru ve arabellek taşmasına yol açabiliyor. National Vulnerability Database, açığın belleğin açığa çıkmasına, hizmet engellemeye veya bazı durumlarda uzaktan kod çalıştırmaya neden olabileceğini belirtiyor. Brotli web yanıtlarını sıkıştırmak için kullanılıyor. Etkilenebilecek yazılımlar arasında Node.js, Bun, Envoy dağıtımları ve brotlicffi gibi Python paketleri bulunuyor. Requests, urllib3, httpx ve aiohttp gibi HTTP istemcileri de etkilenebilir.
Google, 21 Ekim 2026'da Brotli 1.0.10, 1.1.1 ve 1.2.1 sürümlerinde düzeltmeler yayımladı. Node.js de aynı gün yama çıkardı. Microsoft, hafta sonu acil bir .NET güncellemesi yayımladı; başarılı bir istismarın ayrıcalık yükseltmeye yol açabileceğini söyledi. BleepingComputer'a göre düzeltmeleri içeren PyPI paketleri 23 Ekim'de kullanıma sunuldu. Ancak savunmasız Brotli sürümlerini paketleyen uygulamalar, yalnızca Brotli'yi güncelleyerek korunamayabilir.
Broccoli2Shell.com, GitHub'da 22 Ekim 2026'da herkese açık bir kavram kanıtlama istismarının yayımlandığını, ancak gerçek saldırılara ilişkin henüz bir bildirim olmadığını söylüyor. Siteye göre bu istismar, kodu yalnızca bilerek zayıflatılmış bir derlemede çalıştırabiliyor; standart derlemelerde çökmeye ve sınırlı bellek okumasına yol açıyor.
Yorumlar
0Henüz yorum yok. İlk yorumu siz yazın.