Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDADEXPLOIT PÚBLICO

CVE-2026-111497 Desbordamiento de búfer en el decodificador Brotli de Google Brotli

Un desbordamiento de búfer en el decodificador Brotli (c/dec/decode.c) de Google Brotli, versiones 1.0.3 a 1.2.0 en todas las plataformas, permite a un atacante remoto no autenticado corromper memoria adyacente del decodificador, exponer contenido sensible de memoria, causar denegación de servicio o potencialmente ejecutar código arbitrario mediante un flujo comprimido con Brotli manipulado. Se debe actualizar a 1.0.10, 1.1.1 o 1.2.1.

Alerta de Nureq Monitor

Detectada 22 OCT · 12:31Última novedad 24 OCT · 16:44

CVSS 4.0

9.2CRÍTICA

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

0,7 % PERCENTIL 53

EXPLOTACIÓN ACTIVA

No confirmada

EXPLOIT PÚBLICO

Sí 7 REPOSITORIOS

Qué es CVE-2026-111497

Un desbordamiento de búfer en el decodificador Brotli (c/dec/decode.c) de Google Brotli, versiones 1.0.3 a 1.2.0 en todas las plataformas, permite a un atacante remoto no autenticado corromper memoria adyacente del decodificador, exponer contenido sensible de memoria, causar denegación de servicio o potencialmente ejecutar código arbitrario mediante un flujo comprimido con Brotli manipulado. Se debe actualizar a 1.0.10, 1.1.1 o 1.2.1.

Productos y versiones afectadas

  • Google Brotli

    • desde 1.0.3 hasta antes de 1.0.10
    • desde 1.1.0 hasta antes de 1.1.1
    • desde 1.2.0 hasta antes de 1.2.1

Qué hacer

  1. Verificá si usás Brotli y en qué versión: el rango afectado figura arriba.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
  3. Priorizá la corrección: hay código de explotación público, así que el riesgo de ataque es alto.
  4. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Exploits y pruebas de concepto públicas

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

Calculadora CVSS

CVSS 4.0 · 9.2 CRÍTICA

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

VECTOR DE ATAQUE (AV)
Red
COMPLEJIDAD DEL ATAQUE (AC)
Baja
REQUISITOS DEL ATAQUE (AT)
Presentes
PRIVILEGIOS REQUERIDOS (PR)
Ninguno
INTERACCIÓN DEL USUARIO (UI)
Ninguna
CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)
Alta
INTEGRIDAD (SISTEMA VULNERABLE) (VI)
Alta
DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)
Alta
CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)
Ninguna
INTEGRIDAD (SISTEMAS POSTERIORES) (SI)
Ninguna
DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)
Ninguna

Abrir la calculadora completa

Descripción original

A buffer overflow vulnerability in the Brotli decoder (c/dec/decode.c) in Google Brotli versions 1.0.3 through 1.2.0 on all platforms allows a remote unauthenticated attacker to corrupt adjacent decoder state memory, disclose sensitive memory contents, cause a denial of service, or potentially execute arbitrary code using a crafted Brotli-compressed stream. Users need to update any Brotli libraries or binaries between 1.0.3 through 1.2.0 to the latest available version: 1.0.10 or 1.1.1 or 1.2.1.

Referencias

Historial de la alerta

  1. VULNERABILIDAD Nueva vulnerabilidad detectada.
  2. EXPLOIT PÚBLICO Se publicó el repositorio ikow/brotli2crash.
  3. EXPLOIT PÚBLICO Se publicó el repositorio Charlie-Netdevops/node-hostcheck.
  4. EXPLOIT PÚBLICO Se publicó el repositorio CompleteTech-LLC/node2shell-check.
  5. EXPLOIT PÚBLICO Se publicó el repositorio ks-labs/brotli-patch.
  6. EXPLOIT PÚBLICO Se publicó el repositorio googlesky/CVE-2026-111497.
  7. EXPLOIT PÚBLICO Se publicó el repositorio pt-act/node2shell-cve-2026-111497.
  8. EXPLOIT PÚBLICO Se publicó el repositorio s1ko/poc-cve-2026-111497.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.