Escritura fuera de límites en SDDC Manager de Broadcom

Fecha de publicación 28/10/2026

Identificador

INCIBE-2026-800

Importancia

5 - Crítica

Recursos Afectados

VMware Cloud Foundation y VMware vSphere Foundation: SDDC Manager 9.1.1, 9.1.0 y 9.0.x.
VMware Cloud Foundation: SDDC Manager 5.2.x.

Broadcom considera crítico el impacto en SDDC Manager 9.1.1.x y alto en las versiones anteriores indicadas.

Descripción

Khai Tran y Sylvie Mayer, de OpenAI Codex Security, han informado sobre una vulnerabilidad en Brotli, integrado en Node.js. Broadcom confirma que afecta a SDDC Manager y podría permitir ejecutar código arbitrario.

Existe explotación confirmada de Brotli, sin confirmación específica de ataques a SDDC Manager.

Solución

Los parches permanecen pendientes. Aplicar las medidas temporales oficiales, previa copia de seguridad:

SDDC Manager 9.1.1.x: seguir KB460732, que bloquea cuerpos de peticiones Brotli en nginx y en el servicio de la interfaz.
SDDC Manager 5.2.4, 9.0.2 y 9.1.0: seguir KB460734, que deshabilita el descompresor Brotli utilizado por el servicio de la interfaz.

Completar las comprobaciones y reinicios indicados. Para otras versiones afectadas, confirmar la aplicabilidad con soporte. Consultar el boletín VMSA-2026-0008 para conocer la disponibilidad de correcciones definitivas.

Detalle

CVE-2026-111497: una escritura fuera de límites en el decodificador Brotli permite que datos comprimidos manipulados corrompan memoria, revelen información, provoquen una denegación de servicio o, potencialmente, ejecuten código. Broadcom identifica ejecución arbitraria de código por un atacante con acceso de red a SDDC Manager.

CVE