Splunk проверяет, затронуты ли его продукты несколькими уязвимостями Node.js. Исправления для веток 22.x, 24.x и 26.x стали доступны 21 октября 2026 года. Уязвимости затрагивают декодер Brotli (алгоритм сжатия данных), разрешение имён DNS (система доменных имён) и проверку сертификатов TLS (протокол защищённого соединения). Splunk пока не подтвердил уязвимость ни в одном продукте: все позиции в таблице уведомления имеют статус "под проверкой".
Brotli, DNS и TLS в уведомлении Splunk
Splunk относит перечисленные уязвимости к уровню High (высокий) по своей классификации. Числовой оценки CVSS (общая система оценки уязвимостей) в уведомлении нет. Одна из уязвимостей - запись за границы буфера в декодере Brotli (CVE-2026-111497, идентификатор уязвимости). Атака идёт по сети, учётные данные не нужны.
Поток сжатых данных с специально подобранным содержимым переполняет буфер. Это может повредить соседнюю память, раскрыть её содержимое, вызвать отказ в обслуживании или привести к выполнению произвольного кода. Уязвимость затрагивает библиотеку Google Brotli версий с 1.0.3 по 1.2.0; запись CVE называет исправления 1.0.10, 1.1.1 и 1.2.1.
Другая уязвимость касается разрешения имён DNS. Имя с нулевым байтом (служебный символ с кодом 0) обрывается при обработке. Поэтому приложение может проверить одно имя по белому списку, а получить записи для другого. Это неполное исправление более ранней уязвимости: тогда закрыли только часть функций разрешения имён. Условие атаки - приложение доверяет результату проверки имени, а злоумышленник может подставить имя с нулевым байтом.
Остальные уязвимости обходят проверку имени в сертификате TLS. В одном случае хост содержит полноширинные цифры (похожи на обычные, но имеют другой код), и проверка не распознаёт его как IP-адрес. В другом - адрес содержит ведущий ноль; разные правила разбора дают разные IP-адреса. Так клиент может принять сертификат, выданный для чужого адреса.
Splunk называет следствием перехват трафика. Для такой атаки нужен подходящий сертификат и возможность влиять на соединение. Записи CVE по уязвимостям DNS и TLS не уточняют, нужна ли аутентификация и участие пользователя, а также идёт ли атака по сети или локально. Детали есть в записях CVE и бюллетене Node.js Security Release.
Исправления Node.js вышли в ветках 22.x, 24.x и 26.x, но Splunk и записи CVE не называют точные номера сборок. Их следует искать в бюллетене Node.js Security Release, на который ссылается Splunk. Для библиотеки Brotli запись CVE называет исправленные версии: 1.0.10, 1.1.1 и 1.2.1.
Splunk не приводит исправление для своих продуктов в этом уведомлении. Таблица включает Splunk Cloud Platform, Splunk Enterprise, Universal Forwarder, Enterprise Security, ITSI, SOAR, Observability, AppDynamics, Cisco Secure Endpoint, Cisco XDR и другие позиции. Все они находятся под проверкой. Статус "под проверкой" означает, что вендор ещё выясняет наличие уязвимости. Продукты, которых нет в таблице, Splunk по предварительным данным считает незатронутыми; это предварительный вывод, а не подтверждённая безопасность.
Уведомление не содержит сведений об эксплуатации этих уязвимостей в реальных атаках. Публичное раскрытие деталей по уязвимости Brotli датируется 27 февраля 2026 года, однако это не подтверждает атаки.
Администраторам, которые используют Node.js напрямую, нужно обновить его до исправленного выпуска в ветках 22.x, 24.x или 26.x. Точный номер - в Node.js Security Release. Если в системе есть отдельная библиотека Brotli, её обновляют до 1.0.10, 1.1.1 или 1.2.1. Для продуктов Splunk остаётся отслеживать SVD-2026-1015: исправления там пока нет. Уведомление Splunk и записи CVE не приводят обходных мер.
Практическую значимость для Splunk пока определить нельзя: вендор не подтвердил уязвимость ни в одном продукте. Для Node.js и Brotli последствия описаны прямо: уязвимость Brotli допускает удалённое выполнение кода, а уязвимости TLS - перехват трафика. Списки продуктов Splunk могут измениться по итогам проверки.
Ссылки
