Saltar al contenido
Acceso clientes Agendar
CVE-2026-111497 Nueva

Vulnerabilidad de valor de retorno no verificado en Google Brotli

Google · Brotli · Agregada al catálogo el 27-10-2026 · Última actualización: 28-10-2026

Descripción

Google Brotli contiene una vulnerabilidad de valor de retorno no verificado que permite a un atacante remoto no autenticado corromper la memoria de estado adyacente del decodificador, divulgar contenidos sensibles de la memoria, provocar una denegación de servicio (DoS) o, potencialmente, ejecutar código arbitrario mediante un flujo comprimido con Brotli especialmente manipulado.

Acción recomendada

Aplicar las mitigaciones del fabricante y revisar los equipos afectados en busca de señales de compromiso (triaje forense) antes de darlos por remediados. Evaluar la exposición a internet de cada activo para priorizar la aplicación de parches. En servicios en la nube, seguir las recomendaciones de seguridad del proveedor; si no hay mitigaciones disponibles, discontinuar el uso del producto.

Referencia de CISA para agencias federales de EE. UU.: BOD 26-04.

MITRE ATT&CK

Estimado por 8Layer

Cómo encaja esta vulnerabilidad en un ataque, según el marco MITRE ATT&CK, y qué medidas lo frenan.

MITRE ATT&CK® y ATT&CK® son marcas registradas de The MITRE Corporation. © 2026 The MITRE Corporation. This work is reproduced and distributed with the permission of The MITRE Corporation. Nombres traducidos por 8Layer.

Referencias

Ver el texto original en inglés (CISA)

Google Brotli Unchecked Return Value Vulnerability

Google Brotli contains an unchecked return value vulnerability that allows a remote unauthenticated attacker to corrupt adjacent decoder state memory, disclose sensitive memory contents, cause a denial of service, or potentially execute arbitrary code using a crafted Brotli-compressed stream.

Required action: Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

Notes: This vulnerability affects an open-source component, third-party library, protocol, or proprietary implementation that could be used by different products. For more information, please see: https://github.com/google/brotli/releases/tag/v1.2.1 ; ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-111497

Otras vulnerabilidades de Google en el catálogo

  • CVE-2026-58704 Vulnerabilidad de autorización incorrecta en Google Pixel Alta 16-09-2026
  • CVE-2026-87491 Vulnerabilidad de escritura fuera de límites en Google Chromium V8 Alta 09-09-2026
  • CVE-2026-85046 Vulnerabilidad de confusión de tipos en Google Chromium V8 Alta 04-09-2026
  • CVE-2026-11645 Vulnerabilidad de lectura y escritura fuera de límites en Google Chromium V8 Alta 09-06-2026
  • CVE-2026-5281 Vulnerabilidad de uso después de liberar memoria (use-after-free) en Google Dawn Alta 01-04-2026
Ver las 76 de Google →

En el blog de 8Layer

Recibe el boletín cuando CISA agregue vulnerabilidades nuevas

Te escribimos solo cuando CISA agrega vulnerabilidades nuevas, ya traducidas: cada día que haya, o en un resumen los lunes. Confirmas por correo y te das de baja con un clic.

Frecuencia