CVE-2026-111497: valor de retorno sin verificar en Google Brotli

CVE-2026-111497: valor de retorno sin verificar en Google Brotli, explotado activamente

CISA incorporó el CVE-2026-111497 al catálogo Known Exploited Vulnerabilities (KEV) el 27 de octubre de 2026, lo que confirma explotación activa. Afecta a Brotli, la biblioteca de compresión de Google presente en navegadores, servidores web, CDN, proxies y numerosos productos de terceros. El uso en campañas de ransomware figura como desconocido.

Análisis Técnico

La falla está clasificada como CWE-252 (valor de retorno sin comprobar) y CWE-787 (escritura fuera de límites). Según CISA, el decodificador no verifica un valor de retorno, lo que permite corromper memoria adyacente al estado del decodificador.

Vector de Ataque

Un atacante remoto y no autenticado solo necesita hacer que la víctima procese un flujo comprimido con Brotli especialmente construido, por ejemplo en una respuesta HTTP, un archivo o un recurso web. Según CISA, esto permite:

Corrupción del estado de memoria del decodificador.
Divulgación de contenido sensible de memoria.
Denegación de servicio.
Potencial ejecución de código arbitrario.

Impacto Operacional y de Seguridad

Al ser un componente de código abierto reutilizado por muchos productos, la superficie real es amplia y no siempre visible: la biblioteca puede ir embebida en aplicaciones, contenedores, runtimes y appliances. Cualquier servicio que descomprima contenido Brotli no confiable (proxies inversos, clientes HTTP, pipelines de procesamiento) es un posible punto de entrada.

Productos Afectados

Google Brotli y todo producto que lo incorpore. Las notas de CISA remiten a la versión v1.2.1 del proyecto como referencia de corrección; confirma versiones exactas en la publicación oficial y en NVD. Aún no hay puntaje CVSS publicado.

Recomendaciones y Mitigación

Acciones Inmediatas Recomendadas

Inventariar dónde se usa Brotli (SBOM, dependencias, imágenes de contenedor, appliances).
Actualizar a v1.2.1 o superior, o aplicar los parches de cada proveedor que lo embeba.
Priorizar activos expuestos a internet según la directiva BOD 26-04 de CISA.
Seguir los requisitos de triaje forense de CISA ante sospecha de compromiso.
Si no hay mitigación disponible, discontinuar el uso del producto afectado.

Fecha límite para agencias FCEB: 10 de noviembre de 2026.

CVE-2026-111497: valor de retorno sin verificar en Google Brotli