أصدرت مايكروسوفت تحديثات أمنية طارئة عاجلة لمستخدمي .NET لمعالجة ثغرة حرجة في تقنية ضغط البيانات Brotli التابعة لـ Google. تدعو مايكروسوفت المطورين إلى تحديث أنظمتهم «في أقرب وقت ممكن» لسد هذه الثغرة التي يمكن أن تؤدي إلى فساد ذاكرة العمليات.
تفاصيل الثغرة وتأثيرها
تم إصدار إصدارات جديدة من .NET 8 و9 و10 و11 لمعالجة الخلل في Brotli، والذي يُعرف باسم CVE-2026-111497، ويصنف بخطورة 8.1 في نظام CVSS v3.1. يمكن لهذه الثغرة أن تسمح لمهاجم غير مصرح له بقراءة أو إفساد ذاكرة العمليات، مما قد يؤدي إلى الكشف عن المعلومات، أو رفض الخدمة، أو رفع الامتيازات. برأينا، هذه الثغرات التي تؤثر على قلب مكونات الأنظمة هي الأخطر.
تم الكشف عن ثغرة Brotli لأول مرة في 21 أكتوبر من قبل فريق Node.js، الذي أصدر إصلاحات لعشر ثغرات أمنية، وكانت CVE-2026-111497 الأكثر خطورة. يرجع الفضل في اكتشافها إلى Khai Tran وSylvie Mayer من OpenAI’s Codex Security. على الرغم من أن السبب الجذري للمشكلة تم إصلاحه في الشيفرة المصدرية لـ Brotli في فبراير، لم يكن معروفًا حينها أنها تشكل ثغرة أمنية.
تتجاوز المشكلة .NET، حيث أصدرت Node.js وPython وBun وEnvoy وIstio تصحيحات مماثلة. كما تمكنت JFrog من إعداد استغلال يؤثر على FFmpeg باستخدام صورة JPEG XL تم تصميمها خصيصًا، مما يوسع مسار الاستغلال إلى ما هو أبعد من HTTP. وذكر الباحثون أن الثغرة تؤثر أيضًا على Apache Arrow، حيث يمكن للمهاجمين التسبب في رفض الخدمة.
ماذا يعني هذا لمطوري ومصممي البرمجيات؟
تحذيرات الخبراء تشير إلى أن هذه الثغرة تنتشر على نطاق واسع في بيئات الكلاود. فقد أضافت Merav Bar، باحثة التهديدات في Wiz، أن 91 بالمائة من بيئات الكلاود تعتمد على مكونات معرضة لخلل Brotli، وأن 82 بالمائة من بيئات الكلاود لديها مثيلات Node.js مكشوفة علنًا. هذا يعني أن مخاطر اختراق أحمال العمل والتطبيقات، والوصول إلى المعلومات الحساسة، وتعطيل توفر الخدمة، أو تنفيذ تعليمات برمجية ضارة، كلها مرتفعة.
من الضروري للمطورين ومديري الأنظمة أخذ هذه التحذيرات على محمل الجد. توصي OpenAI، من خلال مبادرة «Patch the Planet»، بحظر بيانات Brotli المضغوطة غير الموثوقة حيثما أمكن ذلك حتى يتم تطبيق التصحيحات. كما تنصح بإعادة بناء عمليات النشر المتأثرة وإعادة تشغيل الخدمات لضمان سريان الإصلاحات. السرعة هنا عامل حاسم لحماية تطبيقاتك ومستخدميك.
المصدر: theregister.com