Brotli-fejl rammer også firewalls: Palo Alto bekræfter berørte opsætninger

Palo Alto Networks bekræfter i en meddelelse fra 26. oktober, at Brotli-fejlen CVE-2026-111497 rammer bestemte PAN-OS-firewalls og Prisma Cloud Application Security Transporter Client.

For danske it-afdelinger betyder det, at kontrollen ikke bør stoppe ved webserverens programmeringssprog. Den samme sårbare komponent kan indgå flere steder i en installation, og både produktversion og konfiguration afgør, om den enkelte tjeneste er udsat.

Firewallen skal have bestemte funktioner slået til

Ifølge Palo Alto Networks kræver eksponeringen i PAN-OS både inspektion af Brotli-komprimeret trafik og TLS/SSL-dekryptering på databehandlingsdelen. Administrationsgrænsefladen er ikke berørt. Producenten oplyser desuden, at PAN-OS 11.1 og 10.2 samt Panorama ikke er påvirket.

Indtil rettelserne er tilgængelige, anbefaler producenten at slå Brotli-inspektion fra i berørte opsætninger. For Prisma Cloud Application Security Transporter Client er den rettede version 0.2.9. Palo Alto Networks oplyser, at selskabet ikke kender til ondsindet udnyttelse af fejlen.

Det er dermed hverken en bekræftelse af et angreb på danske virksomheder eller en besked om, at alle firewalls fra producenten er sårbare. Den konkrete kontrol skal foretages mod producentens versionsoversigt og den faktiske opsætning.

Fejlen ligger under selve applikationen

Node.js-projektets sikkerhedsmeddelelse forklarer, at ugyldige komprimerede data kan få Brotli-dekoderen til at skrive uden for en intern hukommelsesbuffer. Følgerne kan være nedbrud, læk af proceshukommelse eller i værste fald afvikling af angriberens kode.

Det afgørende er, om et program pakker angriberstyrede Brotli-data ud. En server kan derfor være relevant at undersøge, selv om den ikke selv annoncerer Brotli-komprimering til besøgende: Den kan også hente og behandle data fra andre systemer.

Node.js offentliggjorde allerede den 21. oktober rettelser i versionerne 22.23.4, 24.22.1 og 26.12.1. Det er baggrunden for den aktuelle gennemgang på tværs af produkter, ikke en ny Node.js-udgivelse fra i dag. Projekter på udgåede versioner bør ifølge Node.js flyttes til en opdateret, understøttet udgave.

Microsoft har også udsendt ekstrarettelser

Microsoft frigav den 25. oktober opdateringer uden for den normale rytme til .NET 8, 9 og 10 samt .NET 11 Release Candidate 3. De rettede stabile udgaver er 8.0.33, 9.0.22 og 10.0.14.

Microsoft understreger, at .NET Framework ikke er berørt. For de berørte .NET-udgaver kan eksponering opstå ved blandt andet eksplicit brug af Brotli-funktioner, dekomprimering af indgående forespørgsler eller automatisk dekomprimering af svar via HttpClient. De to sidstnævnte funktioner er ikke slået til som standard.

En installeret pakke er således ikke det samme som en dokumenteret angrebsvej. Men fravær af standardaktivering er heller ikke bevis for, at en konkret applikation ikke har aktiveret funktionen. Begge dele skal med i vurderingen.

Et stort netværkstal har klare begrænsninger

Akamai offentliggjorde den 26. oktober en analyse af fejlen under navnet Node2Shell. Selskabet oplyser, at dets telemetri viser berørte Node.js-versioner i 61 procent af de netværk, målingen omfatter.

Tallet er ikke en opgørelse over danske virksomheder, og det viser ikke, at 61 procent er blevet angrebet. Akamai fremhæver behandling af ikke-betroede Brotli-data som eksponeringsbetingelsen, herunder data modtaget gennem visse webfunktioner.

Analysen forklarer derfor problemets mulige udbredelse, men kan ikke erstatte en lokal kortlægning. Den enkelte organisations risiko afhænger af, hvilke versioner der faktisk kører, og hvilke data de behandler.

En opdatering skal nå helt ud i driften

Microsoft skelner mellem applikationer, der bruger en fælles runtime på serveren, og applikationer, som medbringer deres egen. Førstnævnte kræver opdateret runtime og genstart; sidstnævnte skal bygges og udgives igen med den rettede runtime. Containere skal tilsvarende genbygges og genudrulles.

Det næste dokumenterede skridt for PAN-OS er de rettelser, producenten har annonceret i sin løbende versionsoversigt. De planlagte datoer er ikke i sig selv dokumentation for, at en rettelse er frigivet eller installeret. Indtil da er resultatet af den nye meddelelse konkret: Også berørte firewallopsætninger skal med i kontrollen af Brotli-fejlen.