Escritura fuera de límites en productos de Palo Alto Networks

Fecha de publicación 27/10/2026

Identificador

INCIBE-2026-793

Importancia

5 - Crítica

Recursos Afectados

PAN-OS en cortafuegos PA-Series y VM-Series:
- 12.2: versiones anteriores a 12.2.4-h1.
- 12.1: versiones anteriores a 12.1.4-h13, 12.1.7-h11 o 12.1.10-h3, según la línea de mantenimiento.
- 11.2: desde 11.2.4 y anteriores a 11.2.4-h23, 11.2.7-h23, 11.2.10-h17, 11.2.13-h4 o 11.2.16-h1, según la línea de mantenimiento.
Prisma Cloud - Application Security Transporter Client: versiones anteriores a 0.2.9.

En PAN-OS, la exposición requiere inspección Brotli y descifrado TLS/SSL activados en el plano de datos. Panorama y PAN-OS 11.1 y 10.2 no están afectados.

Descripción

Khai Tran y Sylvie Mayer, de OpenAI Codex Security, han informado sobre una vulnerabilidad en el decodificador Brotli que podría permitir a un atacante remoto sin autenticación revelar información, provocar una denegación de servicio o ejecutar código arbitrario.

Solución

Actualizar, según la línea utilizada, a:

PAN-OS 12.2.4-h1.
PAN-OS 12.1.7-h11.
PAN-OS 11.2.10-h17.
Prisma Cloud - Application Security Transporter Client 0.2.9.

Las demás correcciones están previstas entre el 27 y el 30 de octubre. Consultar su disponibilidad en el boletín del fabricante.

La versión 11.2.10-h16 corrige PHP, pero requiere actualizar a 11.2.10-h17 para corregir también Brotli.

Como mitigación provisional, deshabilitar Brotli mediante set system setting brotli-encoding disable. Verificar con show system setting brotli que aparezca Enabled: no.

Detalle

CVE-2026-111497: escritura fuera de límites en el decodificador Brotli. Al procesar datos comprimidos manipulados, el decodificador puede escribir fuera de un búfer interno y corromper la memoria adyacente. Un atacante remoto sin autenticación que consiga que se procesen esos datos podría acceder a información sensible de la memoria, provocar la interrupción del servicio o, potencialmente, ejecutar código arbitrario.

CVE