مركز الاستجابة الأمنية كارن آي تي لتقنية المعلومات (KSRC)

رقم الإرشاد: KSRC-2026-10271 | تاريخ النشر: 27 أكتوبر 2026

ثغرة حرجة من نوع الكتابة خارج الحدود في مُفكك Google Brotli
CVE-2026-111497

الملخص

تم اكتشاف ثغرة أمنية حرجة من نوع Buffer Overflow في مُفكك Google Brotli (الإصدارات من 1.0.3 حتى 1.2.0). تحمل هذه الثغرة المعرّف CVE-2026-111497 وتُصنّف بدرجة خطورة 9.2 (حرجة) وفق معيار CVSS v4.0.

يُمكن لمهاجم عن بُعد وغير مصادق عليه إنشاء تدفق مضغوط بتقنية Brotli بشكل خبيث يؤدي إلى الكتابة خارج حدود الذاكرة، مما قد يتسبب في تلف الذاكرة، أو تسريب معلومات حساسة، أو تعطيل الخدمة، أو تنفيذ تعليمات برمجية عشوائية.

نظرة تقنية

توجد الثغرة في تطبيق مُفكك Brotli (الملف c/dec/decode.c). عند معالجة تدفق مضغوط مُعد خصيصًا، يمكن للمُفكك الكتابة خارج حدود المخازن الداخلية، مما يؤدي إلى تلف هياكل الذاكرة المجاورة.

يتطلب الاستغلال الناجح أن يقوم التطبيق أو الخدمة المستهدفة بفك ضغط بيانات Brotli يتحكم فيها المهاجم (مثلًا عبر Content-Encoding: br في بروتوكول HTTP، أو عبر مكتبات مثل zlib في Node.js).

المنتجات المتأثرة

• Google Brotli: الإصدارات من 1.0.3 قبل 1.0.10، و1.1.0 قبل 1.1.1، و1.2.0 قبل 1.2.1
• Node.js: عدة فروع إصدارات قبل تحديثات أكتوبر 2026 الأمنية (تم الإصلاح في الإصدارات 22.23.4 و24.22.1 و26.12.1 وما يعادلها)
• حزمة brotli في لغة Python وأي برامج أخرى تُضمّن نسخًا متأثرة من Brotli
• أي تطبيق أو خدمة تقوم بفك ضغط بيانات Brotli من مصادر غير موثوقة

التوصيات

1. الإجراء الفوري: قم بترقية Google Brotli إلى الإصدار 1.0.10 أو 1.1.1 أو 1.2.1.
2. يجب على مستخدمي Node.js التحديث إلى الإصدارات الأمنية الأخيرة: 22.23.4 أو 24.22.1 أو 26.12.1 (أو أحدث).
3. ينبغي على مستخدمي Python ترقية حزمة brotli إلى الإصدار 1.2.1 أو أحدث.
4. قم بجرد جميع الأنظمة والتطبيقات التي تقوم بفك ضغط بيانات Brotli، خاصة تلك التي تستقبل بيانات مضغوطة من مصادر خارجية.
5. في حال تعذر التحديث الفوري، يُنصح بتعطيل فك ضغط Brotli للمصادر غير الموثوقة كإجراء مؤقت.

كارن آي تي
نجعل الإنترنت أصعب على المسيئين.