Brotli-Schwachstelle CVE-2026-111497
- Beginn
Zusammenfassung
Eine kritische Schwachstelle in der Kompressionsbibliothek Brotli (CVE-2026-111497) wurde veröffentlicht. Der Hersteller von AppsAnywhere prüft derzeit, ob AppsAnywhere oder die unterstützten Umgebungen davon betroffen sind. Diese Prüfung ist noch nicht abgeschlossen; es gibt derzeit keine Handlungsempfehlung. Diese Meldung ist unabhängig von den PHP-Schwachstellen CVE-2026-109618 / CVE-2026-109619.
Quelle: AppsAnywhere Support – Security Advisory: Brotli Vulnerability
Verlauf
- Patch verfügbar(vor 1 Tag)
Sicherheitsupdate für AppsAnywhere verfügbar. Für die unterstützten AppsAnywhere-Versionen steht jetzt ein Update zur Behebung von CVE-2026-111497 bereit. Der Hersteller empfiehlt dringend, es zeitnah einzuspielen.
Für Kunden mit AppsAnywhere 3.2 bis 3.6 legt der AppsAnywhere-Support proaktiv einzelne Tickets mit Anleitung an. Sie können das Update auch selbst durchführen.
Erforderliches Paket: brotli-1.0.6-5.el8_10
Schritt 1 – Appliance Configuration Console (ACC) der AppsAnywhere-Appliance öffnen.
Schritt 2 – „Configure System Updates“ aufrufen.
Schritt 3 – „Run Manual System Update“ ausführen und den Vorgang vollständig abschließen lassen.
Schritt 4 – Appliance manuell neu starten, damit alle Dienste die aktualisierte Bibliothek verwenden. Das Update startet die Appliance nicht automatisch neu; bitte planen Sie eine kurze Betriebsunterbrechung ein.
Schritt 5 – Vorgang für jede betroffene Appliance in Ihrer Umgebung wiederholen.
Prüfen, ob das Update eingespielt wurde: ACC über „run-setup-menu“ öffnen, „Configure System Updates“ aufrufen, „View System Update Log“ auswählen und im YUM/DNF-Protokoll nach dem Paket brotli-1.0.6-5.el8_10 suchen. Navigation mit den Pfeiltasten, Beenden mit „q“. Erscheint das Paket, wurde das Update installiert – bitte zusätzlich sicherstellen, dass die Appliance danach neu gestartet wurde.
AppsAnywhere 3.1 und älter: Für diese End-of-Life-Versionen gibt es keinen Sicherheitsfix, ein Upgrade auf eine unterstützte Version ist erforderlich. Betroffene Kunden wurden bereits über die bestehenden Support-Tickets zu den PHP-Schwachstellen kontaktiert; die Upgrades werden weiterhin darüber koordiniert. Wenn Sie das Update bereits eingespielt haben, bestätigen Sie dies bitte in Ihrem bestehenden Support-Ticket. Gern unterstützen wir Sie bei der Durchführung oder koordinieren mit dem Hersteller.
- Betroffen – Fix in Arbeit(vor 2 Tagen)
Patch für Rocky Linux 8 steht noch aus. Red Hat hat einen Sicherheitspatch für Red Hat Enterprise Linux 8 veröffentlicht. Das entsprechende Update für Rocky Linux 8 – die Grundlage der AppsAnywhere-Appliances – ist noch nicht verfügbar. Das Engineering-Team des Herstellers beobachtet die Bereitstellung in den unterstützten Paketquellen.
Für Sie bedeutet das:
Die im vorherigen Update beschriebene mögliche Auswirkung bleibt unverändert.
Für AppsAnywhere-Appliances steht noch kein Sicherheitsupdate zur Verfügung.
Es ist derzeit kein weiteres Handeln erforderlich.
Sobald das passende Update verfügbar ist, veröffentlichen wir die erforderlichen Schritte hier und unterstützen bei der Umsetzung.
- Betroffen – Fix in Arbeit(vor 3 Tagen)
Hersteller konkretisiert die Einschätzung: potenzieller Angriffsweg über ausgehende Verbindungen. AppsAnywhere nutzt Brotli, um ausgehende Web-Antworten zu komprimieren – dieser Weg nutzt den verwundbaren Decoder nicht. Der Hersteller hat jedoch einen potenziellen Angriffsweg über Antworten von Drittanbieter-Diensten identifiziert, die AppsAnywhere selbst aufruft: Ein bösartiger oder kompromittierter Endpunkt könnte speziell präparierte Brotli-Daten zurückliefern.
Über eingehende Anfragen – einschließlich der Anfragen des AppsAnywhere-Desktop-Clients – wurde kein direkter Angriffsweg festgestellt.
Betroffen sind je nach konfigurierten Funktionen diese Integrationen:
Microsoft Entra ID / ADFS – OAuth-2.0-Single-Sign-on (Discovery, Token-Austausch, Signaturschlüssel)
Microsoft Authentication / Graph – Entra-ID-Connector für zusätzliche Gruppenmitgliedschaften, auch zusammen mit SAML-SSO
Jamf Pro Server – Jamf-Pro-Integration (Resource Discovery, Geräteprüfung, Policy-, Mac-App-Store- und E-Book-Zustellung)
Swivel API – Zwei-Faktor-Authentifizierung beim Start von Anwendungen
AWS AppStream (WorkSpaces Applications) – AppStream-Integration, Sitzungsvorgänge, Nutzungs- und Concurrency-Berichte
Microsoft-Tenant-Endpunkte und AVD Web Client URL – Azure-Virtual-Desktop-Verbindung und Statusprüfungen
Die Nutzung einer dieser Integrationen bedeutet nicht, dass der jeweilige Dienst verwundbar oder kompromittiert ist. Ein Angriff über diesen Weg setzt voraus, dass ein Angreifer die Antwort des Dienstes kontrolliert oder beeinflusst.
Stand der Behebung
Ein gepatchtes Brotli-Paket für die AppsAnywhere-Appliance steht in den unterstützten Paketquellen noch nicht zur Verfügung. Der Hersteller beobachtet die Veröffentlichung und wird dann eine Handlungsanweisung bereitstellen. Für Sie ergibt sich derzeit kein Handlungsbedarf; sobald der Patch verfügbar ist, veröffentlichen wir die Schritte hier und unterstützen bei der Umsetzung.
Weitere Produkte: Parallels RAS, Numecent Cloudpaging und AppsAnywhere Analytics werden weiterhin geprüft.
- Analyse läuft(vor 3 Tagen)
Der Hersteller hat die Prüfung von CVE-2026-111497 aufgenommen und beobachtet die Entwicklung. Sollte sich ein Handlungsbedarf ergeben, informiert der Hersteller betroffene Kunden direkt; wir veröffentlichen den Stand hier. Bis dahin ist nichts zu tun.