PT-2025-23219 · Unknown · Io::Compress::Brotli

Robert Rothenberg · Publicado 2020-09-15 · Atualizado 2025-09-04 · CVE-2020-36846

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do IO::Compress::Brotli anteriores à 0.007

Descrição Existe um estouro de buffer na biblioteca Brotli incorporada. Um atacante que controle o tamanho da entrada de uma requisição de descompressão pode causar uma falha ao copiar blocos de dados maiores que 2 GiB.

Recomendações Atualize o módulo IO::Compress::Brotli para a versão 0.007 ou posterior. Se não for possível atualizar, utilize a API de streaming em vez da API one-shot e imponha limites de tamanho de bloco.

Correção

Buffer Overflow

Enumeração de Fraquezas

CWE-1395

CWE-120

Identificadores relacionados

BIT-BROTLI-2020-8927

BIT-DOTNET-2020-8927

BIT-DOTNET-SDK-2020-8927

BIT-POWERSHELL-2020-8927

CVE-2020-36846

GHSA-5V8V-66V8-MWM7

GO-2025-3726

OPENSUSE-SU-2025:15225-1

PYSEC-2020-29

RUSTSEC-2021-0131

RUSTSEC-2021-0132

Produtos afetados

Io::Compress::Brotli

Referências · 85

• https://github.com/google/brotli/releases/tag/v1.0.9 · Nota
• https://github.com/google/brotli/commit/223d80cfbec8fd346e32906c732c8ede21f0cea6 · Correção
• https://github.com/google/brotli/pull/826 · Nota
• https://github.com/google/brotli/releases/tag/v1.0.8 · Nota
• https://github.com/github/advisory-database/issues/785 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/brotli/PYSEC-2020-29.yaml · Nota
• https://github.com/bitemyapp/brotli2-rs · Nota
• https://github.com/bitemyapp/brotli2-rs/issues/45 · Nota
• https://lists.debian.org/debian-lts-announce/2020/12/msg00003.html · Nota
• https://twitter.com/CVEnew/status/1928256857761796456 · Publicação no Twitter
• https://suse.com/security/cve/CVE-2025-0913 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-8927 · Nota de Segurança
• https://github.com/timlegge/perl-IO-Compress-Brotli/blob/8b44c83b23bb4658179e1494af4b725a1bc476bc/Changes#L52 · Nota
• https://osv.dev/vulnerability/BIT-dotnet-2020-8927 · Aviso do Fabricante
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/MMBKACMLSRX7JJSKBTR35UOEP2WFR6QP · Aviso do Fabricante