Escritura fuera de límites en SDDC Manager de Broadcom Mié, 28/10/2026 - 10:06
Aviso
Recursos Afectados
VMware Cloud Foundation y VMware vSphere Foundation: SDDC Manager 9.1.1, 9.1.0 y 9.0.x.VMware Cloud Foundation: SDDC Manager 5.2.x.Broadcom considera crítico el impacto en SDDC Manager 9.1.1.x y alto en las versiones anteriores indicadas.
Descripción
Khai Tran y Sylvie Mayer, de OpenAI Codex Security, han informado sobre una vulnerabilidad en Brotli, integrado en Node.js. Broadcom confirma que afecta a SDDC Manager y podría permitir ejecutar código arbitrario.Existe explotación confirmada de Brotli, sin confirmación específica de ataques a SDDC Manager.
Identificador
INCIBE-2026-800
Solución
Los parches permanecen pendientes. Aplicar las medidas temporales oficiales, previa copia de seguridad:SDDC Manager 9.1.1.x: seguir KB460732, que bloquea cuerpos de peticiones Brotli en nginx y en el servicio de la interfaz.SDDC Manager 5.2.4, 9.0.2 y 9.1.0: seguir KB460734, que deshabilita el descompresor Brotli utilizado por el servicio de la interfaz.Completar las comprobaciones y reinicios indicados. Para otras versiones afectadas, confirmar la aplicabilidad con soporte. Consultar el boletín VMSA-2026-0008 para conocer la disponibilidad de correcciones definitivas.
Detalle
CVE-2026-111497: una escritura fuera de límites en el decodificador Brotli permite que datos comprimidos manipulados corrompan memoria, revelen información, provoquen una denegación de servicio o, potencialmente, ejecuten código. Broadcom identifica ejecución arbitraria de código por un atacante con acceso de red a SDDC Manager.
5 - Crítica
Listado de referencias
VMSA-2026-0008: Node.js Brotli decoder out-of-bounds write remote code execution vulnerability (CVE-2026-111497)
Manual interim workaround for CVE-2026-111497 (Brotli) on SDDC Manager 9.1.1.x
Manual interim workaround for CVE-2026-111497 (Brotli) on SDDC Manager 5.2.4, 9.0.2, 9.1.0
CVE-2026-111497
Wednesday, October 21, 2026 Security Releases
Etiquetas
Actualización
RCE
Vulnerabilidad
CVE
Identificador CVE
Severidad
Explotación
Fabricante
CVE-2026-111497
Crítica
Si
BROADCOM