Impatto Sistemico

Critico (78.46)

Sintesi

Disponibile un Proof of Concept (PoC) per lo sfruttamento della CVE-2026-111497, presente nel decoder di Google Brotli, libreria open source ampiamente impiegata per la compressione e decompressione dei contenuti web e incorporata in numerosi prodotti e framework software, tra cui Node.js, DuckDB, Apache Arrow, .NET e diverse librerie Python.

Tipologia

• Remote Code Execution
• Denial of Service
• Information Disclosure

Descrizione e potenziali impatti

Nel dettaglio, la vulnerabilità identificata tramite la CVE-2026-111497 – di tipo “Out-of-bounds Write” e con CVSS v4.0 pari a 9.2 – interessa la libreria Google Brotli e i prodotti che integrano tale componente. Tale vulnerabilità è dovuta a una gestione non adeguata del decoder Brotli durante l’elaborazione di flussi di dati compressi, che può determinare condizioni di scrittura fuori dai limiti della memoria allocata. Un attaccante remoto non autenticato potrebbe sfruttare tale vulnerabilità, mediante l’invio di contenuti Brotli opportunamente predisposti, al fine di compromettere la disponibilità del servizio, ottenere l’accesso ad informazioni sensibili e, in determinate circostanze, eseguire codice arbitrario sui sistemi target.

Prodotti e/o versioni affette

Google Brotli

• 1.0.x, dalla versione 1.0.3 alla 1.0.10 (esclusa)
• 1.1.x, versioni precedenti alla 1.1.1
• 1.2.x, versione precedenti alla 1.2.1

Azioni di mitigazione

Ove non provveduto, si raccomanda di aggiornare tempestivamente i prodotti vulnerabili all’ultima versione disponibile.