В SDDC Manager из состава VMware Cloud Foundation нашли уязвимость в декодере Brotli. Специально собранный сжатый поток повреждает память процесса и может привести к выполнению произвольного кода. Затронуты несколько поддерживаемых ветвей продукта. Патчей нет, но Broadcom предложил обходные меры.
Разбор уязвимости
SDDC Manager использует Node.js, а тот - библиотеку Brotli для распаковки сжатых данных. Brotli - алгоритм сжатия, его применяют для передачи данных и хранения. Декодер разбирает поток и пишет данные, не сверяя длину записи с размером буфера. Запись выходит за пределы выделенного участка и портит соседние области памяти. В записи CVE указана и вторая слабость - непроверенное возвращаемое значение. Вместе эти две ошибки дают устойчивый сценарий выхода за границы буфера.
Запись CVE описывает ошибку в самой библиотеке Brotli, а уведомление Broadcom - её последствия для SDDC Manager. Идентификатор один и тот же, зоны ответственности разные. Поэтому обновлять приходится и продукт, и библиотеку, если она есть в собственных сборках.
Условия атаки
Для SDDC Manager 9.1.1 атака идёт по сети. Сложность низкая, учётные данные не нужны, участие пользователя тоже. Достаточно сетевого доступа к интерфейсу SDDC Manager. В версиях 9.0.x, 9.1.0 и 5.2.x вектор иной: атакующий должен работать из смежного сетевого сегмента, а сложность выше. Оценка там ниже - 7,5 против 9,8. Broadcom оговаривает, что критический балл относится только к 9.1.1.x.
Последствия зависят от того, какую область памяти удалось испортить. Минимальный исход - отказ в обслуживании управляющего сервиса. Дальше - чтение чужих данных из памяти и выполнение своего кода. SDDC Manager управляет хостами и доменами нагрузки, так что его компрометация даёт доступ к управляющей плоскости всей среды. Для администратора это повод пересмотреть, кто именно имеет сетевой доступ к этому компоненту.
Исправление и обходные меры
Исправленных версий Broadcom пока не выпустил. В матрице отклика во всех строках статус - "патч ожидается", дата его появления не названа. Вместо патча предложены обходные меры: KB460732 для SDDC Manager 9.1.1 и KB460734 для 9.0.x, 9.1.0 и 5.2.x. Уведомление VMSA-2026-0008.1 от 28 октября 2026 года говорит, что эти меры закрывают уязвимость в затронутых продуктах. Приоритет очевиден: ветка 9.1.1 уязвима тяжелее остальных.
Первую редакцию уведомления выпустили 27 октября. На следующий день Broadcom уточнил список затронутых продуктов в матрице отклика. Тот же документ лежит в базе поддержки под номером 39445.
Отдельная задача - сама библиотека Brotli, если она собрана в ваших приложениях и сервисах. Затронуты выпуски с 1.0.3 по 1.2.0 на всех платформах. Исправлены версии 1.0.10, 1.1.1 и 1.2.1. Обновлять нужно любые библиотеки и бинарные файлы Brotli из этого диапазона, даже если они не связаны с VMware. Проверить состав сборки можно по манифесту зависимостей или по версии бинарного файла.
Эксплуатация в реальных атаках
CISA добавила CVE-2026-111497 в каталог KEV. Пометка означает подтверждённую эксплуатацию в реальных атаках. При этом, по оценке CISA, автоматизировать атаку нельзя - её готовят вручную. Уровень технического воздействия в той же оценке - полный. То есть последствия успешного прохода оценивают как исчерпывающие для компонента.
Сведения об ошибке раскрыли публично 27 февраля 2026 года, запись CVE опубликовали 22 октября. Нашли уязвимость исследователи OpenAI Codex Security - Khai Tran и Sylvie Mayer. Broadcom приводит диапазон 7,5-9,8 по CVSSv3, в записи CVE стоит 9,2 по CVSS 4.0. Шкалы разные, числа напрямую не сравнивают. Обе оценки описывают одну и ту же ошибку.
Пока исправления нет, риск снижают доступом. Сетевую достижимость SDDC Manager стоит ограничить, а обходные меры из KB460732 или KB460734 - применить. Когда патч выйдет, первой в очереди останется ветка 9.1.1.
Ссылки
