A Brotli hibája a Node.js mellett Python-csomagokat és proxykat is érint
Egy külső szerver tömörített válasza is elérheti a Google Brotli-dekódolójának hibáját, nem csak egy bejövő kérés. A CVE-2026-111497 többek között a Node.js, a Bun, Python-csomagok és bizonyos Envoy-, illetve Istio-beállítások használóit érinti.
Kódfuttatást is bemutattak, valódi támadást nem jelentettek
A Brotli webes adatok tömörítésére szolgál. Hibás dekódolója megfelelően kialakított bemenettel felülírhatja a memóriát, ami összeomláshoz, adatszivárgáshoz vagy akár támadói kód futtatásához vezethet. A Google 9,2-es műszaki súlyossági pontszámot adott a sebezhetőségnek.
Az Imperva egy Linuxon, ARM64 környezetben futó Node.js 24.22.0 kiadáson demonstrált kódfuttatást. Más szoftvereken ezt nem mutatták be; éles támadásról nincs jelentés.
Csak az idegen Brotli-adatok kibontása teszi elérhetővé
A Node.js és a Bun esetében a fetch() által fogadott br válasz lehet belépési pont. A Node.js környezetében az Express 5 és a body-parser 2 tömörített kéréstörzse is érintett lehet. Egy egyszerű Node.js HTTP-szerver önmagában nem bontja ki ezeket.
Az Envoy és az Istio csak bekapcsolt Brotli-kibontás mellett érintett. Python esetében a Brotli vagy a brotlicffi csomag jelenléte automatikus dekódolást kapcsolhat be a HTTP-kliensekben, saját közvetlen importálás nélkül is.
Ezek a javított kiadások
| Összetevő | Javított verziók |
|---|---|
| Google Brotli | 1.0.10, 1.1.1, 1.2.1 |
| Node.js | 22.23.4, 24.22.1, 26.12.1 |
| Bun | 1.4.4 |
| Envoy | 1.40.0, 1.39.3, 1.38.6, 1.37.8, 1.36.12 |
| Istio | 1.31.2, 1.30.6, 1.29.9 |
| Python Brotli | 1.2.1 |
| Python brotlicffi | 1.2.1.0 |
A futó folyamat újraindításig megtartja a régi dekódolót.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum