9.2
Critique
Exploitée
CVE-2026-111497 Out-of-Bounds Write in Google Brotli Decoder
Exploitation active constatée
· catalogue CISA KEV
Action attendue
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Campagnes de rançongiciel
Non constatée à ce jour
Faiblesse
CWE-787, CWE-252
Description
A buffer overflow vulnerability in the Brotli decoder (c/dec/decode.c) in Google Brotli versions 1.0.3 through 1.2.0 on all platforms allows a remote unauthenticated attacker to corrupt adjacent decoder state memory, disclose sensitive memory contents, cause a denial of service, or potentially execute arbitrary code using a crafted Brotli-compressed stream. Users need to update any Brotli libraries or binaries between 1.0.3 through 1.2.0 to the latest available version: 1.0.10 or 1.1.1 or 1.2.1.
Détail CVSS 4.0
Vecteur CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:NExploitable à distance par le réseau, sans compte et sans action d’un utilisateur ; un attaquant peut compromettre gravement la confidentialité, l’intégrité ou la disponibilité.
- Vecteur d’attaque
- Réseau
- Complexité
- Faible
- Prérequis d’attaque
- Présents
- Privilèges requis
- Aucun
- Interaction
- Aucune
- Confidentialité
- Élevé
- Intégrité
- Élevé
- Disponibilité
- Élevé
- Confidentialité des autres systèmes
- Aucun
- Intégrité des autres systèmes
- Aucun
- Disponibilité des autres systèmes
- Aucun
Produits et versions touchés
| Produit | Versions touchées | Corrigé en |
|---|---|---|
| Brotli 1.2 | 1.2.0 → < 1.2.1 | 1.2.1 |
| Brotli 1.1 | 1.1.0 → < 1.1.1 | 1.1.1 |
| Brotli 1.0 | 1.0.3 → < 1.0.10 | 1.0.10 |
| Cloud Connector Configurator | Versions non publiées | |
| Common Configurator (CC on IEM) | Versions non publiées | |
| Common Configurator on Device (CC on Edge) | Versions non publiées | |
| Data Flow Monitoring | Versions non publiées | |
| Databus Configurator | Versions non publiées | |
| Edge OPC UA Server Configurator | Versions non publiées |
Afficher les 14 autres branches Masquer les 14 autres branches
| Produit | Versions touchées | Corrigé en |
|---|---|---|
| Flow Creator Configurator | Versions non publiées | |
| Industrial Edge Hub | Versions non publiées | |
| Industrial Edge Management Cloud | Versions non publiées | |
| RUGGEDCOM APE1808 | Versions non publiées | |
| Heliox Dual Port 60kW | Versions non publiées | |
| Heliox Flex Pro | Versions non publiées | |
| SICHARGE FLEX | Versions non publiées | |
| SICHARGE UC | Versions non publiées | |
| Sifinity Go | Versions non publiées | |
| Sifinity Setup | Versions non publiées | |
| VersiCharge AC Series | Versions non publiées | |
| VersiCloud | Versions non publiées | |
| Desigo CC family V8 | Versions non publiées | |
| Desigo CC family V9 | Versions non publiées |
Références
- nodejs.org nodejs.org
- github.com github.com
Chronologie
- Publiée
- Ajoutée au catalogue KEV
- Dernière modification