9.2
Critique
CVE-2026-111497 Out-of-Bounds Write in Google Brotli Decoder
Exploitation active constatée
· catalogue CISA KEV
Action attendue
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Campagnes de rançongiciel
Non constatée à ce jour
Faiblesse
CWE-787, CWE-252
Description
A buffer overflow vulnerability in the Brotli decoder (c/dec/decode.c) in Google Brotli versions 1.0.3 through 1.2.0 on all platforms allows a remote unauthenticated attacker to corrupt adjacent decoder state memory, disclose sensitive memory contents, cause a denial of service, or potentially execute arbitrary code using a crafted Brotli-compressed stream. Users need to update any Brotli libraries or binaries between 1.0.3 through 1.2.0 to the latest available version: 1.0.10 or 1.1.1 or 1.2.1.
Détail CVSS 4.0
Vecteur CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:NExploitable à distance par le réseau, sans compte et sans action d’un utilisateur ; un attaquant peut compromettre gravement la confidentialité, l’intégrité ou la disponibilité.
- Vecteur d’attaque
- Réseau
- Complexité
- Faible
- Prérequis d’attaque
- Présents
- Privilèges requis
- Aucun
- Interaction
- Aucune
- Confidentialité
- Élevé
- Intégrité
- Élevé
- Disponibilité
- Élevé
- Confidentialité des autres systèmes
- Aucun
- Intégrité des autres systèmes
- Aucun
- Disponibilité des autres systèmes
- Aucun
Produits et versions touchés
| Produit | Versions touchées | Corrigé en |
|---|---|---|
| Brotli 1.2 | 1.2.0 → < 1.2.1 | 1.2.1 |
| Brotli 1.1 | 1.1.0 → < 1.1.1 | 1.1.1 |
| Brotli 1.0 | 1.0.3 → < 1.0.10 | 1.0.10 |
| Cloud Connector Configurator 1.24 | premières → < 1.24.3 | 1.24.3 |
| Common Configurator (CC on IEM) | Versions non publiées | |
| Common Configurator on Device (CC on Edge) | Versions non publiées | |
| Data Flow Monitoring 3.0 | premières → < 3.0.18 | 3.0.18 |
| Databus Configurator 4.0 | premières → < 4.0.1 | 4.0.1 |
| Edge OPC UA Server Configurator 2.3 | premières → < 2.3.10 | 2.3.10 |
Afficher les 17 autres branches Masquer les 17 autres branches
| Produit | Versions touchées | Corrigé en |
|---|---|---|
| Flow Creator Configurator 1.15 | premières → < 1.15.1 | 1.15.1 |
| Industrial Edge Hub | Versions non publiées | |
| Industrial Edge Management Cloud | Versions non publiées | |
| RUGGEDCOM APE1808 | Versions non publiées | |
| Heliox Dual Port 60kW | Versions non publiées | |
| Heliox Flex Pro | Versions non publiées | |
| SICHARGE FLEX | Versions non publiées | |
| SICHARGE UC | Versions non publiées | |
| Sifinity Go | Versions non publiées | |
| Sifinity Setup | Versions non publiées | |
| VersiCharge AC Series | Versions non publiées | |
| VersiCloud | Versions non publiées | |
| Desigo CC family V8 | Versions non publiées | |
| Desigo CC family V9 | Versions non publiées | |
| DataXess Configurator 1.5 | premières → < 1.5.7 | 1.5.7 |
| Gridscale X DSA 5.3 | 5.3 → < 5.4 | 5.4 |
| Gridscale X PSS®E 36.8 | premières → < 36.8.0 | 36.8.0 |