- Aktif istismar
- Yama var
- Son 7 gün
- CWE-252
- CWE-787
CVE-2026-111497
Google Brotli kod çözücüsünde sınır dışı yazma açığı
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
Yönetici özeti
Brotli, web sunucularında, uygulamalarda ve veri sıkıştırma işlemlerinde yaygın olarak kullanılan bir bileşendir. Bu açık, sistemlerin kimlik doğrulaması gerektirmeden ele geçirilmesine veya çökertilmesine yol açabileceği için yüksek risk taşımaktadır. Etkilenen kütüphaneleri hemen güncellemeniz önerilir.
ÖzetTürkçe
Google Brotli kütüphanesinin 1.0.3 ile 1.2.0 arasındaki sürümlerinde, Brotli kod çözücüsünün (decode.c) tampon taşması sorunu bulunmaktadır. Açık, tüm platformlarda bu sürümleri kullanan Brotli kütüphanelerini ve ikili dosyalarını etkilemektedir. Saldırgan, hazırlanmış bir Brotli sıkıştırılmış akışı ile kimlik doğrulaması olmadan açığı tetikleyebilir.
Saldırgan ne yapabilir?
Saldırgan, bellekteki komşu durum verilerini bozabilir, hassas bellek içeriğini sızdırabilir, hizmet reddine yol açabilir ve koşullara bağlı olarak keyfi kod çalıştırabilir.
Kaynaktaki açıklama (İngilizce)
A buffer overflow vulnerability in the Brotli decoder (c/dec/decode.c) in Google Brotli versions 1.0.3 through 1.2.0 on all platforms allows a remote unauthenticated attacker to corrupt adjacent decoder state memory, disclose sensitive memory contents, cause a denial of service, or potentially execute arbitrary code using a crafted Brotli-compressed stream.
Users need to update any Brotli libraries or binaries between 1.0.3 through 1.2.0 to the latest available version: 1.0.10 or 1.1.1 or 1.2.1.
Üreticinin çözüm notu (İngilizce)
Update any Brotli libraries or binaries between 1.0.3 through 1.2.0 to the latest available version: 1.0.10 or 1.1.1 or 1.2.1.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Ne yapmalı?
- Brotli kütüphanelerini ve ikili dosyalarını, 1.0.3 ile 1.2.0 arasındaki sürümlerden, mevcut güvenli sürümlere yükseltin: 1.0.10, 1.1.1 veya 1.2.1. Üretici
- Brotli kullanan uygulamaları, sunucuları ve bağımlı paketleri yeniden başlatarak güncellenmiş kütüphanenin yüklenmesini sağlayın. Genel öneri
- Güncelleme yapılamıyorsa, Brotli ile sıkıştırılmış veri kabul eden hizmetleri geçici olarak devre dışı bırakın veya bu veriyi işlemeden önce güvenilmeyen kaynaklardan gelen istekleri engelleyin. Genel öneri
Ek önlemler
- Sisteminizde Brotli kütüphanesini kullanan tüm yazılımları, paket yöneticileri ve bağımlılık listeleri üzerinden envanter olarak takip edin. Genel öneri
- Brotli ile sıkıştırılmış verileri işleyen uygulamalarda beklenmeyen çökme, bellek hatası veya olağandışı kaynak kullanımı kayıtlarını izleyin. Genel öneri
- Güncellemeleri uyguladıktan sonra kütüphane sürümlerini doğrulayarak eski sürümlerin sisteminizde kalmadığından emin olun. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Google Brotli | ≥ 1.0.3, < 1.0.10 | 1.0.10 |
| ≥ 1.1.0, < 1.1.1 | 1.1.1 | |
| ≥ 1.2.0, < 1.2.1 | 1.2.1 |
Kaynaklar4 kaynak
Kayıt geçmişi
- İstismar ihtimali arttı: %36 → %56
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.