Uma vulnerabilidade de corrupção de memória descoberta no descodificador de compressão Brotli, da Google, está a colocar em risco múltiplos ambientes de desenvolvimento e servidores web. Identificada como CVE-2026-111497, a falha permite que pacotes de dados manipulados executem código malicioso ou causem o bloqueio grave de sistemas, exigindo a intervenção imediata de programadores e administradores de rede.
O formato Brotli é uma tecnologia amplamente utilizada na internet para reduzir o peso das páginas e acelerar a transferência de tráfego. Segundo os dados partilhados num aviso de segurança da Vercel, a origem do problema reside no código C responsável por descomprimir estes fluxos de informação. Como grande parte das linguagens e aplicações incorpora a sua própria cópia destas instruções originais, o defeito propaga-se de forma direta para qualquer software que reaproveite a biblioteca.
O impacto do CVE-2026-111497 na prática
Quando um sistema tenta abrir um pacote Brotli adulterado de forma maliciosa, a vulnerabilidade força a escrita de dados muito para lá do limite da memória temporária reservada. Na prática, este excesso resulta na quebra imediata do processo, em fugas de memória sensível ou na abertura de uma porta para a injeção remota de comandos no servidor. Khai Tran e Sylvie Mayer, especialistas da equipa Codex Security da OpenAI responsáveis pelo alerta inicial, classificam o erro com uma pontuação de 9,2 na escala CVSS 4.0, embora entidades como a Red Hat apontem para o nível 8,1.
A empresa de segurança Imperva conseguiu confirmar a severidade da situação ao assumir o controlo de uma versão vulnerável do Node.js 24.22.0. Num teste laboratorial apelidado de Node2Shell, os investigadores conseguiram introduzir código não autorizado num processador de arquitetura ARM64 em Linux, manipulando apenas os pedidos internos de recolha de dados. Apesar deste cenário de ataque, não existem registos de exploração ativa em sistemas reais abertos ao público.
Atrasos nas correções e plataformas expostas
O percurso temporal desta vulnerabilidade revela uma falha de comunicação invulgar. A alteração original que resolve a falha técnica foi inserida no código fonte do Brotli no dia 27 de fevereiro. Como os envolvidos não se aperceberam de imediato que se tratava de uma ameaça de segurança grave, não ocorreu o lançamento de uma nova versão oficial da ferramenta até 21 de outubro. Perante a lacuna de atualização central, as plataformas afetadas tiveram de agir e lançar os seus próprios pacotes corrigidos ao longo das últimas semanas.
O Node.js resolveu o defeito com as versões 22.23.4, 24.22.1 e 26.12.1. Variantes mais antigas, nomeadamente a ramificação 20.x, atingiram o fim do ciclo de suporte e vão permanecer vulneráveis. A lista de dependências frágeis estende-se a ferramentas como o Bun (corrigido na versão 1.4.4), ao analisador cdxgen e aos pacotes dedicados de Python. Soluções empresariais de encaminhamento como o Istio e o Envoy também partilham o defeito, mas o perigo está restrito aos servidores onde o filtro de descompressão Brotli foi ativado manualmente.
Como proteger a infraestrutura de servidores
A defesa principal exige a instalação das versões mais recentes indicadas por cada fornecedor tecnológico. Uma vez aplicada a melhoria de software, as equipas de gestão têm o dever de reiniciar os serviços e reconstruir as respetivas imagens de contentores. Qualquer aplicação que continue a correr sem interrupção vai reter o descodificador corrompido em funcionamento.
Para os ambientes onde não seja viável realizar a atualização no imediato, a solução temporária passa por bloquear a leitura automática de fontes não confiáveis. Recorrer apenas a uma firewall não garante segurança total, uma vez que esta barreira não filtra os conteúdos extraídos através de ligações que o próprio sistema inicia com o exterior. O método adequado passa por forçar a rejeição destes pedidos antes do processo de descompressão arrancar, ou desinstalar os pacotes afetados em linguagem Python para obrigar as aplicações a recorrer a formatos alternativos mais seguros, como o padrão Gzip.
from TugaTech https://ift.tt/eMNv5uI
https://ift.tt/9wNP05m
Share your thoughts here.