Bug di dekoder Brotli milik Google, CVE-2026-111497, ternyata menjangkau lebih banyak perangkat lunak daripada yang diperkirakan. Peneliti JFrog (Aviv Engelberg, Eddy Tsalolikhin, dan Ofri Ouzan) menerbitkan temuan pada 25 Oktober bahwa bug itu juga berdampak pada .NET, FFmpeg, ClickHouse, dan Apache Arrow. Sebelumnya, celah ini diketahui dari rilis keamanan Node.js. Kami sudah membahas dampaknya ke Python, Bun, Envoy, dan Istio.
Apa yang terdampak di tiap produk
Akar masalahnya adalah penulisan di luar batas memori akibat penanganan galat saat dekoder berpindah blok. Versi Brotli yang terdampak mencakup 1.0.3 sampai sebelum 1.0.10, 1.1.0 sampai sebelum 1.1.1, dan 1.2.0 sampai sebelum 1.2.1. Perbaikan upstream ada di Brotli 1.2.1.
Di .NET, API dekompresi Brotli (termasuk BrotliStream) bisa membuat seluruh proses mati lewat segmentation fault bawaan. Galat ini tidak bisa ditangkap sebagai pengecualian terkelola. Aplikasi yang menerima data dari jaringan bisa terpapar lewat dekompresi otomatis HttpClient dan middleware dekompresi permintaan di ASP.NET Core. Di ClickHouse, satu permintaan HTTP dengan Content-Encoding br dan isi yang sengaja dirakit membuat server mati, sehingga kueri yang sedang berjalan ikut terputus. Di pyarrow milik Apache Arrow, masukan kecil sebesar 534 byte dalam uji JFrog membuat proses terjebak dalam putaran CPU tanpa akhir.
FFmpeg terkena secara tidak langsung lewat libjxl, pustaka pengurai gambar JPEG XL yang memakai Brotli untuk metadata. Sebuah berkas gambar rakitan dapat merusak memori. JFrog menyebut eksekusi kode jarak jauh masih butuh eksploitasi lanjutan dan bergantung pada build target. Belum ada laporan serangan di dunia nyata untuk semua kasus ini, dan semua temuan berupa demonstrasi riset.
Status perbaikan
Node.js sudah menambal lewat versi 22.23.4, 24.22.1, dan 26.12.1. Microsoft mengumumkan pada 25 Oktober bahwa pembaruan untuk runtime dan SDK .NET yang didukung sedang dirilis lewat jalur distribusi biasa. Nomor versinya tidak disebutkan, dan isu pelacakan dotnet/runtime #136422 masih terbuka untuk memindahkan perbaikan ke cabang publik. Untuk ClickHouse, perbaikan sudah digabung ke kode (PR #127419), tetapi belum ada rilis yang memuatnya. Apache Arrow masih melacak masalah ini di isu #55166 yang belum ditutup. Untuk FFmpeg dan libjxl, status perbaikannya belum dinyatakan.
Langkah yang perlu diambil
Pengelola layanan berbasis .NET sebaiknya memasang pembaruan runtime dan SDK begitu tersedia di saluran distribusi mereka, terutama untuk aplikasi yang menerima permintaan terkompresi dari luar. Pengguna ClickHouse dan Apache Arrow perlu memantau rilis berikutnya, dan sementara itu membatasi sumber data terkompresi yang tidak tepercaya. JFrog mengingatkan bahwa salinan Brotli bisa tertanam di dalam produk lain, dan vendor kerap menambal tanpa mengubah nomor versi Brotli. Karena itu, cek catatan patch tiap vendor, jangan hanya mengandalkan nomor versi. Alat pemindai seperti Trail of Bits Brotli Checker dan pemindai sumber terbuka milik JFrog bisa membantu melacak jalurnya, meski kecocokan hasil pindai belum membuktikan celah itu bisa dieksploitasi dari jarak jauh.
Sumber: JFrog Security Research dan Cyber Security News. Gambar: Cyber Security News.