Уязвимости eMudhra и Brotli требуют обновления множества ПО

Обновление Node.js устранило уязвимости eMudhra и Brotli

В начале октября исследователи обнаружили две критические уязвимости, затрагивающие множество программных продуктов. Первая, связанная с eMudhra, позволяла злоумышленникам восстановить приватные ключи сертификатов. Вторая, CVE-2026-111497, затрагивала библиотеку Brotli и могла привести к повреждению памяти при декодировании сжатых данных. Node.js выпустил обновления, устраняющие обе проблемы. Однако обновление только одной программы не гарантирует безопасность, так как уязвимый код мог быть включен в другие приложения и среды выполнения.

Библиотека eMudhra генерировала слабые ключи сертификатов

Уязвимость в eMudhra позволяла восстановить приватные ключи сертификатов. Исследователь Скотт Хелм обнаружил, что ключи, заявленные как 384-битные, на самом деле имели длину всего восемь бит. Это произошло из-за сбоя в процессе генерации ключей в апреле 2025 года. Хотя eMudhra утверждает, что скомпрометированные промежуточные сертификаты не выдавались клиентам, это не исключает возможности их использования для подделки сертификатов, которые могли быть приняты некоторыми системами без записи в журналы аудита. Браузеры Chrome и Firefox оперативно выпустили блокировки, но другие приложения требовали обновления пакетов сертификатов или изменения верификаторов. Обновление Node.js устранило проблему только для его среды выполнения.

Уязвимость CVE-2026-111497 в Brotli затрагивает множество продуктов

Уязвимость CVE-2026-111497 в библиотеке Brotli, разработанной Google, могла привести к повреждению памяти. Эта библиотека используется во многих продуктах, включая Node.js, Bun и Python. Обновление Node.js устранило проблему в его среде выполнения. Однако Bun 1.4.4 обновил библиотеку, но скомпилированные исполняемые файлы требовали пересборки. Python также уязвим, если установлены библиотеки brotli или brotlicffi. Microsoft выпустила бюллетень безопасности для .NET, затрагивающий ту же уязвимость. Проблема усугубляется тем, что библиотека Brotli может быть включена в зависимости других проектов или скомпилирована в среду выполнения без явного указания в списке зависимостей приложения.

Обновление ПО требует комплексного подхода

Обновление системных библиотек или сред выполнения не всегда устраняет уязвимости в приложениях, которые используют их встроенные копии. Для обеспечения безопасности необходимо отслеживать все зависимости, включая встроенные библиотеки и среды выполнения. Приложения, использующие общие библиотеки, могут потребовать перезапуска для загрузки исправленной версии. В случае с сертификатами, обновление пакета не гарантирует, что приложение будет использовать обновленные данные доверия. Для устранения уязвимостей рекомендуется отслеживать зависимости, иметь готовый путь для пересборки, использовать обходные пути, если они доступны, и проверять, что исправления действительно внедрены в рабочие сервисы. Важно также отслеживать установку обновлений пользователями.

Искусственный интеллект ускоряет обнаружение и исправление уязвимостей

Исследователи OpenAI Codex Security сообщили об уязвимости Brotli, а инструменты на базе ИИ помогли восстановить слабые ключи eMudhra. Это ускоряет обнаружение уязвимостей, но увеличивает объем работы по их устранению. Инструменты на базе ИИ могут помочь в отслеживании зависимостей и поиске уязвимых компонентов. Однако конечная ответственность за проверку и исправление лежит на командах разработчиков и поддержки продуктов. Необходимо внедрять процессы для быстрого поиска и установки исправлений, чтобы снизить риски, связанные с новыми уязвимостями.