CVE-2026-111497 — Broccoli2Shell или Node2Shell. Оценка: 9,2 по CVSS 4.0 Что известно об уязвимости Brotli — алгоритм сжатия, который используется в HTTP (Content-Encoding: br), шрифтах WOFF2 и файловых форматах. Эталонная реализация Google на языке C встраивается в Node.js, .NET, пакеты Python Brotli и brotlicffi, Envoy, браузеры и поставляется дистрибутивами Linux как библиотека libbrotlidec. Уязвимость находится в декодере (c/dec/decode.c). При обработке специально сформированного переключения типа блока (block switch) декодер записывает данные злоумышленника за границу внутреннего буфера, что приводит к повреждению состояния декодера и соседней памяти: ⚫️аварийному завершению процесса ⚫️раскрытию содержимого памяти ⚫️потенциально выполнению произвольного кода. Эксплуатация не требует аутентификации— достаточно, чтобы уязвимый процесс распаковал Brotli-поток, подготовленный злоумышленником.  Влияние на сервисы Yandex Cloud Обновляем до версий с исправлением уязвимости критические сервисы и зависимости Yandex Cloud и продукты Yandex Cloud Marketplace. Получают исправление автоматически функции в сервисе Yandex Cloud Functions с предзагружаемой средой выполнения Node.js 22. 🔔 Если предзагрузка отключена переменными окружения X_YCF_NO_RUNTIME_POOL, LD_PRELOAD, LD_LIBRARY_PATH или задан параметр --tmpfs-size, создайте новую версию функции. Функции на средах выполнения nodejs10–nodejs18 переведите на nodejs22. Требуют проверки со стороны владельцев по разделу Рекомендации по обнаружению уязвимости пользовательские сервисы, самостоятельно развернутые: 🔺на виртуальных машинах 🔺в контейнерах 🔺в Yandex Managed Service for Kubernetes 🔺в собственных образах или из Cloud Marketplace Общие рекомендации ▶️Ограничьте сетевой доступ к сервисам, которые распаковывают Brotli от недоверенных сторон. ▶️Настройте лимиты памяти и автоматический перезапуск процессов, чтобы ограничить последствия отказа в обслуживании. Защита с помощью Yandex Smart Web Security. Для приложений за Yandex Application Load Balancer добавьте в профиль безопасности базовое правило с действием «Запретить» по условию: заголовок Content-Encoding соответствует регулярному выражению .*br.*. Правило защищает только от входящих запросов. Для неподдерживаемых версий запланируйте переход на поддерживаемую ветку. Признаки попыток эксплуатации 🔺Аварийные завершения процессов Node.js, Python, .NET, Envoy при распаковке данных (SIGSEGV, SIGABRT) 🔺Ошибки декодера на исправленных сборках: в Node.js код ошибки ERR__ERROR_FORMAT_BLOCK_SWITCH с двумя подчеркиваниями, в libbrotli код -17 (BROTLI_DECODER_ERROR_FORMAT_BLOCK_SWITCH) 🔺Входящие запросы с Content-Encoding: br на эндпоинты, которые не должны принимать сжатые тела.   Подробные рекомендации ⏩ @yndxcloudsecurity

CVE-2026-99999 — PwnEscape. Оценка: 9,3 по CVSS v.3.1. Что известно об уязвимости Уязвимость в сетевой подсистеме IPv4 ядра Linux, позволяющая недоверенному отправителю пакета с метаданными отложенной контрольной суммы (csum_start, csum_offset) изменить уже разобранный IPv4-заголовок в памяти ядра. Основной сценарий — гостевая виртуальная машина, передающая пакеты хосту KVM через virtio-net. В этом случае уязвимость позволяет раскрыть память ядра хоста и, при развитии атаки, записать данные в память хоста и выполнить код с правами хоста. Уязвимость не зависит от аппаратной платформы, потому что находится в сетевом стеке ядра, а не в коде KVM. Влияние на сервисы Yandex Cloud Уязвимость не затрагивает конфиденциальность или целостность пользовательских данных. Сервисы Yandex Cloud обновляются для предотвращения возможности эксплуатации уязвимости. Сервисы Yandex Compute Cloud и Yandex Virtual Private Cloud не подвержены уязвимости. Самостоятельно развернутые на выделенных хостах BareMetal пользовательские сервисы требуют проверки со стороны владельцев . Общие рекомендации Актуальны для пользователей, которые самостоятельно администрируют хосты Linux с недоверенными нагрузками: ▶️KVM-гипервизоры на выделенных хостах BareMetal или во вложенной виртуализации ▶️собственные CI/sandbox-платформы ▶️узлы с контейнерами, имеющими CAP_NET_RAW 1️⃣ Проверьте версию ядра на таких хостах: $ uname -r 2️⃣ Сравните с безопасными версиями стабильных веток ядра или с версией пакета вашего дистрибутива из раздела Безопасная версия уязвимого продукта или патч. Ядро младше указанных версий уязвимо. Уязвимый код присутствует в ядре Linux начиная с версии 2.6.27 (2008 год, появление поддержки virtio_net_hdr в драйвере tun) во всех ветках до версий с исправлением. Они приведены в разделе Безопасная версия уязвимого продукта или патч. 🔔Единственная подтвержденная мера — обновление ядра. Конфигурационных митигаций, закрывающих уязвимость, не опубликовано. 3️⃣ До обновления ядра не размещайте недоверенные гостевые ВМ и недоверенные контейнеры с CAP_NET_RAW на непропатченных хостах.   Подробные рекомендации ⏩ @yndxcloudsecurity

CVE-2026-111497 — Broccoli2Shell или Node2Shell. Оценка: 9,2 по CVSS 4.0 Что известно об уязвимости Brotli — алгоритм сжатия, который используется в HTTP (Content-Encoding: br), шрифтах WOFF2 и файловых форматах. Эталонная реализация Google на языке C встраивается в Node.js, .NET, пакеты Python Brotli и brotlicffi, Envoy, браузеры и поставляется дистрибутивами Linux как библиотека libbrotlidec. Уязвимость находится в декодере (c/dec/decode.c). При обработке специально сформированного переключения типа блока (block switch) декодер записывает данные злоумышленника за границу внутреннего буфера, что приводит к повреждению состояния декодера и соседней памяти: ⚫️аварийному завершению процесса ⚫️раскрытию содержимого памяти ⚫️потенциально выполнению произвольного кода. Эксплуатация не требует аутентификации— достаточно, чтобы уязвимый процесс распаковал Brotli-поток, подготовленный злоумышленником.  Влияние на сервисы Yandex Cloud Обновляем до версий с исправлением уязвимости критические сервисы и зависимости Yandex Cloud и продукты Yandex Cloud Marketplace. Получают исправление автоматически функции в сервисе Yandex Cloud Functions с предзагружаемой средой выполнения Node.js 22. 🔔 Если предзагрузка отключена переменными окружения X_YCF_NO_RUNTIME_POOL, LD_PRELOAD, LD_LIBRARY_PATH или задан параметр --tmpfs-size, создайте новую версию функции. Функции на средах выполнения nodejs10–nodejs18 переведите на nodejs22. Требуют проверки со стороны владельцев по разделу Рекомендации по обнаружению уязвимости пользовательские сервисы, самостоятельно развернутые: 🔺на виртуальных машинах 🔺в контейнерах 🔺в Yandex Managed Service for Kubernetes 🔺в собственных образах или из Cloud Marketplace Общие рекомендации ▶️Ограничьте сетевой доступ к сервисам, которые распаковывают Brotli от недоверенных сторон. ▶️Настройте лимиты памяти и автоматический перезапуск процессов, чтобы ограничить последствия отказа в обслуживании. Защита с помощью Yandex Smart Web Security. Для приложений за Yandex Application Load Balancer добавьте в профиль безопасности базовое правило с действием «Запретить» по условию: заголовок Content-Encoding соответствует регулярному выражению .*br.*. Правило защищает только от входящих запросов. Для неподдерживаемых версий запланируйте переход на поддерживаемую ветку. Признаки попыток эксплуатации 🔺Аварийные завершения процессов Node.js, Python, .NET, Envoy при распаковке данных (SIGSEGV, SIGABRT) 🔺Ошибки декодера на исправленных сборках: в Node.js код ошибки ERR__ERROR_FORMAT_BLOCK_SWITCH с двумя подчеркиваниями, в libbrotli код -17 (BROTLI_DECODER_ERROR_FORMAT_BLOCK_SWITCH) 🔺Входящие запросы с Content-Encoding: br на эндпоинты, которые не должны принимать сжатые тела.   Подробные рекомендации ⏩ @yndxcloudsecurity