Переполнение буфера в декодере библиотеки сжатия Brotli затрагивает продукты Palo Alto Networks. Вендор проверяет, как уязвимость отражается на его портфеле, и уже относит к уязвимым межсетевые экраны PAN-OS веток 11.2, 12.1 и 12.2, а также клиент Prisma Cloud Application Security Transporter. Устройства на PAN-OS 11.1 и 10.2 и платформа Panorama в этот список не попали. Уязвимость позволяет удалённому атакующему без учётных данных повредить память декодера, вызвать отказ в обслуживании, раскрыть содержимое памяти или выполнить собственный код.
CVE-2026-111497 в декодере Brotli и условия срабатывания
Проблема получила идентификатор CVE-2026-111497. Сведений о реальных атаках нет: Palo Alto Networks сообщает, что не знает о случаях вредоносного использования. Публикация бюллетеня означает лишь раскрытие технических деталей, а не подтверждённую эксплуатацию. По облачным сервисам проверка продолжается; часть из них вендор уже исправил на своей стороне, и действий от клиентов там не требуется.
Сбой происходит в декодере - части библиотеки, которая распаковывает сжатые данные. Специально собранный сжатый поток вызывает запись за границами буфера: декодер выходит за пределы выделенной памяти и портит соседние данные. Из-за этого возможны утечка содержимого памяти, отказ в обслуживании и, при удачном стечении обстоятельств, исполнение чужого кода. Тип ошибки - запись за границами буфера, CWE-787.
Оценка - 9.2 из 10 по CVSS 4.0, уровень Critical. Атака идёт по сети, сложность низкая, учётные данные не нужны, участие пользователя не требуется. Однако нужны условия на стороне цели: включённая проверка сжатого трафика Brotli и расшифровка TLS/SSL на плоскости данных (dataplane - часть межсетевого экрана, которая обрабатывает трафик). Интерфейс управления, веб-интерфейс и API, уязвимость не затрагивает.
Проверка Brotli включена не по умолчанию. В PAN-OS 11.2.4 и новее она отключена, а в 11.2.3 и старше не поддерживается вовсе. Значит, под угрозой только те установки, где администратор включил её сам и расшифровывает трафик. Состояние видно в интерфейсе командной строки по команде show system setting brotli: строка Enabled: yes означает, что устройство подвержено уязвимости. С версии PAN-OS 12.1.2 то же самое проверяется в веб-интерфейсе, в разделе Device > Setup > Content-ID, по флажку Allow Brotli Encoding.
Исправления выходят поэтапно. Уже доступны PAN-OS 12.2.4-h1, 12.1.7-h11 и 11.2.10-h17. Для сборок 12.1.4-h13, 12.1.10-h3, 11.2.4-h23, 11.2.7-h23, 11.2.13-h4 и 11.2.16-h1 вендор приводит ожидаемые сроки - в течение нескольких дней после публикации уведомления. Номер исправленной версии для своей ветки нужно сверять по таблице состояния продуктов в бюллетене: она обновляется по мере выхода сборок.
До установки исправления вендор предлагает отключить проверку Brotli. В интерфейсе командной строки это делает команда set system setting brotli-encoding disable, а результат проверяется той же командой show system setting brotli со значением Enabled: no. В веб-интерфейсе с версии 12.1.2 нужно снять флажок Allow Brotli Encoding в разделе Device > Setup > Content-ID и зафиксировать изменения. Там, где проверка сжатого трафика не нужна, отключение убирает путь к уязвимому коду.
Подписчикам Threat Prevention вендор даёт частичную защиту: идентификатор угрозы 97686, начиная с контент-версии 9165. Чтобы сигнатура сработала, трафик к порту управления направляют через интерфейс обработки данных, заменяют сертификат для входящего управления, расшифровывают этот трафик и включают на нём профиль защиты от угроз. Без всех четырёх условий прикрытия не будет.
Клиент Prisma Cloud Application Security Transporter нужно обновить до версии 0.2.9, отдельная настройка для защиты не требуется. Сама библиотека Brotli исправлена в версиях 1.0.10, 1.1.1 и 1.2.1 - их стоит взять всем, кто собирает или поставляет приложения с этим декодером.
Для межсетевых экранов Palo Alto Networks многое решает конфигурация: без включённой проверки Brotli устройство не подвержено уязвимости. Там, где проверка и расшифровка трафика включены, сетевой вектор и отсутствие требований к учётным данным делают обновление первоочередным. Сроки выхода сборок для отдельных веток остаются плавающими, поэтому таблицу состояния продуктов нужно отслеживать до установки исправления.
Ссылки
- https://security.paloaltonetworks.com/CVE-2026-111497
- https://www.cve.org/CVERecord?id=CVE-2026-111497
