Már kihasználják a Node.js és a .NET környezetét is érintő Brotli-hibát

A CISA 2026. november 10-ét jelölte meg javítási határidőként. Ez az amerikai szövetségi szerveknek előírt dátum, nem általános magyarországi kötelezettség. A KEV-listára kerülés azt jelzi, hogy a hiba tényleges kihasználására már van bizonyíték. A korábbi beszámolók még nem jeleztek éles támadásokat, de azóta megjelent ez a bejegyzés.

A Google által fejlesztett Brotli tömörített adatok kibontására szolgáló kódjában található sérülékenység speciálisan összeállított bemenettel idézhető elő. A program a számára kijelölt memóriaterületen túlra írhat, ami összeomlást, érzékeny memóriatartalom kiszivárgását vagy akár támadói kód futtatását okozhatja. A CVSS műszaki súlyossági pontszám 9,2, vagyis kritikus.

A támadási út akkor nyílik meg, ha az alkalmazás más által ellenőrzött Brotli-adatokat bont ki. Node.js és Bun esetén ilyen lehet egy HTTP-válasz automatikus feldolgozása vagy egy tömörített kérés törzsének kibontása. Egy egyszerű Node.js HTTP-kiszolgáló önmagában nem végzi el utóbbit.

A .NET esetében az ASP.NET Core kéréskibontása, a HttpClient automatikus válaszkibontása és a Brotli programozási felületeinek közvetlen használata lehet érintett. A Microsoft szerint ez a funkció alapértelmezésben nincs bekapcsolva.

Python alatt a Brotli vagy brotlicffi csomag jelenléte is számít: ezekkel több HTTP-kliens automatikusan kezeli a Brotli-válaszokat. Ehhez az alkalmazás saját kódjának nem kell közvetlenül betöltenie a tömörítési csomagot. Envoy és Istio esetén a bekapcsolt Brotli-kibontás a feltétel.

Az Imperva egy javítatlan, Linux ARM64 rendszeren futó Node.js 24.22.0 kiadáson igazolta a támadói kódfuttatást. Ez a kísérlet nem terjedt ki más összeállításokra.

A csomagolt Brotli-példányt minden érintett terméknek külön kell lecserélnie. Az alábbiak a forrásokban megadott javított kiadások; a megfelelő verzióágat kell követni.

A Microsoft október 25-én adott ki soron kívüli biztonsági csomagokat. Ezek más .NET-hibák javításait is tartalmazzák, köztük az októberi havi kiadásban nem teljesen kezelt problémákét.

A Fortinet közleménye több Node.js-sebezhetőséget tárgyal, köztük a Brotli-hibát. A vizsgált termékek között szerepel például a FortiOS, a FortiProxy és a FortiMail; ez önmagában nem jelenti az érintettség megerősítését. A gyártó a FortiManager, a FortiAnalyzer és a FortiWeb termékeket nem érintettként sorolja fel.

A Cisco szintén közzétett figyelmeztetést a termékeiben használt Node.js októberi sérülékenységeiről. Ezek a Brotli-dekódolás mellett a névfeloldást és a tanúsítvány-ellenőrzést is érintik.

A frissített fájlok telepítése után az érintett folyamatokat újra kell indítani, mert addig a régi dekódolót használják. A konténerképeket is újra kell építeni, majd ismét üzembe helyezni.

Az átmeneti védekezésnél mindkét irányra figyelni kell: a bejövő tömörített kérések blokkolása nem zárja le a rosszindulatú HTTP-válaszok útját. Az Accept-Encoding fejlécből a br érték elhagyása önmagában szintén nem elég, mert a kiszolgáló ettől még küldhet Brotli-adatot.