CVE-2026-111497 trong Brotli Ubuntu: kiểm tra và cập nhật

Một reverse proxy, API hoặc ứng dụng Python có thể xử lý dữ liệu Brotli mà quản trị viên không gọi trực tiếp lệnh brotli. Vì vậy, lỗ hổng trong thư viện nén có thể nằm dưới nhiều lớp ứng dụng và chỉ xuất hiện khi máy chủ nhận luồng nén được tạo đặc biệt.

Ubuntu phát hành USN-8956-1 ngày 26/10/2026 cho CVE-2026-111497. Theo Canonical, Brotli xử lý sai một số luồng nén; kẻ tấn công từ xa có thể làm dừng dịch vụ hoặc, trong điều kiện phù hợp, thực thi mã. Thông báo chưa nêu bằng chứng lỗ hổng đang bị khai thác thực tế.

Những phiên bản Ubuntu nào có bản vá?

Ba gói cần chú ý là tiện ích brotli, thư viện libbrotli1 và mô-đun python3-brotli. Máy chỉ không cài tiện ích dòng lệnh vẫn có thể dùng thư viện qua NGINX, Python hoặc phần mềm khác. Kiểm tra phụ thuộc thực tế quan trọng hơn việc chỉ tìm một binary.

Máy chủ nào nên ưu tiên?

• Reverse proxy hoặc web server bật nén Brotli cho nội dung gửi tới khách.
• API nhận dữ liệu nén hoặc giải nén tệp do người dùng tải lên.
• Ứng dụng Python dùng python3-brotli trực tiếp hay gián tiếp.
• Worker xử lý tài liệu, ảnh, bản sao lưu hoặc gói dữ liệu không tin cậy.
• Container được xây từ ảnh Ubuntu cũ và chưa được dựng lại sau khi kho gói có bản vá.

Tên CVE xác định lỗ hổng, nhưng mức rủi ro của từng máy phụ thuộc đường dữ liệu. Dịch vụ chỉ tạo dữ liệu nén từ nội dung nội bộ thường có bề mặt khác dịch vụ giải nén dữ liệu do Internet gửi tới. Tuy nhiên, cập nhật vẫn cần thiết vì thư viện dùng chung có thể được gọi bởi thành phần mà đội vận hành chưa kiểm kê.

Checklist cập nhật VPS Ubuntu

1. Xác định bản Ubuntu bằng lsb_release -a hoặc /etc/os-release; không dùng phiên bản gói của nhánh khác.
2. Kiểm tra gói bằng dpkg-query -W brotli libbrotli1 python3-brotli và đối chiếu mốc đã sửa.
3. Chụp thông tin dịch vụ, sao lưu cấu hình và bảo đảm có đường quay lại trước khi cập nhật máy quan trọng.
4. Chạy cập nhật tiêu chuẩn của Ubuntu và xác minh phiên bản sau cài đặt; không chỉ tin trạng thái lệnh thành công.
5. Khởi động lại hoặc nạp lại những tiến trình đang giữ thư viện cũ. Dùng công cụ như needrestart nếu quy trình doanh nghiệp cho phép.
6. Dựng lại ảnh container từ base image đã cập nhật; việc vá máy chủ không sửa thư viện nằm trong lớp container cũ.
7. Thử lại nén và giải nén, response header, cache, file tải lên và giới hạn kích thước sau thay đổi.
8. Theo dõi crash, core dump, lỗi giải nén và mức dùng CPU/bộ nhớ bất thường.

Không đánh đồng Brotli với zlib

Brotli và zlib đều là thư viện nén nhưng là hai gói khác nhau. Bài vá zlib ngày 22/10 không thay thế bản vá Brotli ngày 26/10. Một máy chủ web có thể dùng cả hai tùy theo header Accept-Encoding, cấu hình proxy và loại nội dung.

Đội vận hành nên đưa thư viện nén vào danh mục thành phần phần mềm, kể cả khi nó chỉ là phụ thuộc. Với container, lưu cả digest base image và ngày build để biết dịch vụ nào cần dựng lại khi có USN mới.

Nguồn tham khảo

• Ubuntu USN-8956-1, công bố ngày 26/10/2026
• NVD: CVE-2026-111497

Nếu bạn quản trị VPS Ubuntu, hãy gửi phiên bản hệ điều hành, kết quả phiên bản ba gói Brotli, danh sách dịch vụ và cách đóng gói container tới hotro@thuemaychu.vn. Mục tiêu là xác định tiến trình cần khởi động lại và bài kiểm thử sau cập nhật; không cần gửi khóa truy cập.