Brotli 9,2: virhe voi olla riippuvuudessa

Varmennetut tiedot

CVE-2026-111497 liittyy Brotli-purkajan muistinkäsittelyvirheeseen. CERT-SE ilmoittaa pisteiksi 9,2 ja kertoo haavoittuvuuden kuuluvan CISA KEV -luetteloon. Google on julkaissut korjatun Brotli 1.2.1:n. [1, 2]

Tarkistettavat versiot

CERT-SE ilmoittaa haavoittuviksi Brotli-versiot 1.0.3–1.2.0. Python-pakettien korjaukset ovat tiedotteen mukaan brotli 1.2.1:ssä ja brotlicffi 1.2.1.0:ssa. Arvioi myös, purkaako ohjelma hyökkääjän muokattavissa olevaa tietoa. [1, 3]

Käytännön tarkistuksemme

Tarkista käytössä oleva ohjelma ja siihen sisällytetyt kirjastot.

1. Tunnista tuotteet ja omat sovellukset, jotka käyttävät Brotli-purkua.
2. Pyydä valmistajalta tieto juuri käyttämästäsi tuoteversiosta. Järjestelmäkirjaston päivitys ei välttämättä korjaa sisällytettyjä kopioita.
3. Päivitä tuotteen tukemalla tavalla. Omassa koodissa päivitä riippuvuus, käännä uudelleen ja ota versio käyttöön.
4. Tarkista ajossa oleva versio ja testaa palvelun tärkeimmät toiminnot.

Yksityiskäyttäjälle

Asenna ohjelma- ja järjestelmäpäivitykset luotetuilla päivitystoiminnoilla. Vältä tuntemattomien sivustojen erillisiä ”tietoturvakorjauksia”. Oman verkkopalvelun alusta on tarkistettava itse tai palveluntarjoajan avulla.

Vie korjaus tuotantoon asti

Tämä on riippuvuuksien päivitykseen suosittelemamme toimintamalli. Kohdeversion ja lisävaatimusten on perustuttava oman tuotteen tiedotteeseen.

1. Valmiissa tuotteessa hanki valmistajan paketti, joka nimenomaisesti korjaa kyseisen Brotli-komponentin.
2. Omassa sovelluksessa päivitä oikea riippuvuus ja lukitustiedosto, rakenna uusi julkaisu tai konttikuva ja ota se käyttöön kaikissa haavoittuvissa instansseissa.
3. Tarkista komponentti ajossa olevasta julkaisusta. Uusi tiedosto käännösympäristössä ei riitä, jos vanhat instanssit ovat yhä käytössä.
4. Testaa normaali toiminta ja tarkista virheet käyttöönoton jälkeen. Älä käytä julkista hyväksikäyttökoodia toimintatestinä.

Tarvitsetko yhteisen toimintamallin?

Opas ”Haavoittuvuus löytyi – etene varmennettuun korjaukseen” kertoo, miten tarkistat, koskeeko ongelma sinua, valmistelet palautuksen ja varmistat tuloksen.