Brotli-Pufferüberlauf ermöglicht DoS oder Codeausführung

Tier B · Diese Woche patchen – Ab in den Sprint

Wer betroffen ist: Zahlreiche Produkte, darunter Node.js-Anwendungen

Tier B, weil: Volle Übernahme ODER Geheimnisse offengelegt ODER Lieferkette

Reichweite

Angriff

Schaden

Fix

Kerninfrastruktur · Verbreitetes Werkzeug · Volle Übernahme

Was zu tun ist

Node.js und andere betroffene Brotli-Komponenten auf die korrigierten Versionen aktualisieren

Kurz gesagt

Über manipulierte, mit Brotli komprimierte Daten können Angreifer den Speicher von Anwendungen verfälschen.
Mögliche Folgen sind die Preisgabe von Inhalten, Abstürze (DoS) oder laut Quelle Codeausführung.
Zahlreiche Produkte sind betroffen, darunter Node.js. Korrigierte Versionen sind verfügbar.

Warum es wichtig ist

Brotli ist in vielen Node.js-Anwendungen und Webservern im Einsatz, die komprimierte Daten entgegennehmen. Wer nicht aktualisiert, kann Ziel von Abstürzen oder Angriffen mit Codeausführung werden.

Die Checkliste hinter dem Tier

Checkliste · 4 von 10 mit Ja

Ja	Trifft Tech-Teams	Betrifft Node.js und weitere Produkte, mit denen Entwickler und Ops-Teams arbeiten.
Ja	Kerninfrastruktur	Brotli ist eine Kompressionsbibliothek, die in vielen Servern, Laufzeitumgebungen und Browsern steckt.
Ja	Verbreitetes Werkzeug	Node.js ist eine weit verbreitete Laufzeitumgebung und ist laut Security-Insider betroffen.
Nein	Wird ausgenutzt	Security-Insider beschreibt nur die Möglichkeit von Angriffen, keine beobachteten Angriffe.
Nein	Exploit öffentlich	Security-Insider nennt keinen veröffentlichten Exploit oder Proof of Concept.
Nein	Aus der Ferne, ohne Login	Security-Insider sagt nicht, dass der Angriff ohne Anmeldung über das Netz möglich ist.
Ja	Volle Übernahme	Security-Insider: Über manipulierte Brotli-Daten sind Code-Ausführung und Speicherverfälschung möglich.
Nein	Geheimnisse offengelegt	Security-Insider: Inhalte könnten preisgegeben werden, aber ein tatsächlicher Datenabfluss wird nicht berichtet.
Nein	Lieferkette	Security-Insider beschreibt eine Pufferüberlauf-Lücke, keine kompromittierten Pakete oder Updates.
Nein	Noch kein Fix	Security-Insider: Korrigierte Versionen sind verfügbar.

Quelle

Brotli-Pufferüberlauf kann DoS oder Code-Ausführung ermöglichen ↗ Security-Insider | News | RSS-Feed · vor 10 Std.

Zuerst gesehen vor 10 Std. · 1 Quelle · Zur ganzen Meldung · Wie Tiers entschieden werden