1 artículo con esta etiqueta
El 21 de octubre de 2026 (hora de EE. UU.), Google publicó Brotli 1.2.1, 1.1.1 y 1.0.10 para corregir CVE-2026-111497, una escritura fuera de límites en la biblioteca oficial de Brotli. Están afectadas Brotli 1.0.3–1.0.9, 1.1.0 y 1.2.0. Descomprimir datos Brotli manipulados puede corromper la memoria y provocar caídas, revelación de memoria o, potencialmente, ejecución de código arbitrario. Google le asigna 9,2 según CVSS v4.0. Node.js publicó 22.23.4, 24.22.1 y 26.12.1 el mismo día, y el 22 de octubre se corrigieron los paquetes de PyPI en brotli 1.2.1 y brotlicffi 1.2.1.0. Microsoft publicó correcciones para .NET 8, 9 y 10 (8.0.33, 9.0.22, 10.0.14) el 25 de octubre (hora de EE. UU.), y Bun (1.4.4) y Envoy también publicaron correcciones. JPCERT/CC, el equipo de respuesta a emergencias informáticas de Japón, emitió el 26 de octubre una alerta que menciona los apodos Node2Shell y HTTP2Shell. Muchos programas llevan su propia copia de Brotli, por lo que actualizar la biblioteca del sistema operativo no corrige las copias incluidas en las compilaciones oficiales de Node.js, los wheels de Python de PyPI, las imágenes de contenedor ni los ejecutables de un solo archivo. A la mañana del 27 de octubre (hora de Japón), el catálogo de vulnerabilidades explotadas conocidas (KEV) de CISA no la incluye, y ninguna fuente primaria informa de explotación. La conclusión de este sitio: si un servicio con Node.js, Bun, Python o .NET descomprime datos recibidos del exterior, compruebe las versiones hoy, actualice y después reconstruya contenedores y ejecutables.