Суть проблемы
Исследователи безопасности выявили критическую уязвимость в библиотеке сжатия данных Brotli. Ошибка связана с некорректной обработкой определенных структур данных, что позволяет злоумышленникам вызвать переполнение буфера. В результате атакующий может получить возможность выполнения произвольного кода на целевой системе, просто заставив её обработать специально сформированный файл.
Затронутые технологии
Уязвимость носит фундаментальный характер и влияет на реализации Brotli в различных языках программирования. В первую очередь под угрозой находятся:
- .NET — популярная платформа разработки от Microsoft;
- Node.js — среда выполнения JavaScript;
- Python — один из самых распространенных языков программирования в мире.
Механизм атаки
Атака реализуется через отправку жертве специально созданного файла, сжатого с помощью алгоритма Brotli. При попытке системы распаковать этот файл происходит сбой в логике обработки данных, ведущий к переполнению памяти. Это классический сценарий эксплуатации уязвимостей типа RCE (Remote Code Execution), позволяющий полностью захватить контроль над устройством или сервером.
Рекомендации
Разработчикам и администраторам систем рекомендуется немедленно проверить версии используемых библиотек Brotli. Необходимо обновить зависимости до исправленных версий, где устранена ошибка обработки данных. Игнорирование этого обновления может привести к компрометации данных и системной инфраструктуры.
Источник: Securitylab ↗