Критична уязвимост в декодера на Brotli, засягаща Node.JS, Bun, браузъри, HTTP клиенти и други проекти

В библиотеката с референтна реализация на декодиращия формат за компресиране на данни Brotli е открита уязвимост (CVE-2026-111497, кодови имена Broccoli2Shell и HTTP2Shell), водеща до презапълване на буфера при обработка на специално оформени компресирани данни. Според данни от Google, уязвимостта може да бъде използвана за отдалечено изпълнение на код при атаката на проекти, които използват официалната реализация на декодера Brotli. Сред засегнатите от уязвимостта проекти са: Node.js, Bun, Envoy, Istio, уеб браузъри, прокси сървъри, HTTP клиенти, HTTP сървъри, архиватори, прокси сървъри, UEFI фърмуер, прегледачи на JPEG XL, декодиращи съдържание библиотеки за Python, Ruby, Java, PHP и .NET и свързани зависимости.

Проблемът беше открит от компанията OpenAI през февруари тази година и блокиран в кодовата база на Brotli чрез отхвърляне на некоректни потоци при декодиране. На 22 октомври бяха публикувани коригиращи версии на Brotli 1.0.10, 1.1.1 и 1.2.1, в които беше заявено, че уязвимостта е отстранена и основният проблем е решен. В същия ден беше създаден прототип на експлоита, който позволяваше отдалечено изпълнение на код в лабораторни условия, при използване на нестандартни сборки (в стандартните сборки се получаваше аварийно завършване). По-късно компанията Imperva зафиксира атака на стандартни сборки Node.js 24.22.0 в Linux среда на системата ARM64.

Уязвимостта води до запис извън буфера поради некоректна обработка на грешки при парсинг на блоковете в компресирания поток. Функцията DecodeBlockTypeAndLength() вместо код на грешка връщала само стойности true и false, което не позволяваше на извикващия код да отличи повреждане на потока от състояние, изискващо предаване на допълнителни данни на функцията. В случай на посочване на некоректен тип на блока с компресирани данни в потока, декодерът го восприемал не като грешка, а като състояние на недостиг на данни, изискващо допълнително четене от потока. Но тъй като отделеният буфер не е бил сметнат за допълнително прочетени данни, те са записвани в област извън него, където се е съхранявало вътрешното състояние на декодера.

Проекти, засегнати от уязвимостта:

• Референтната библиотека brotli, проблемът се проявява от версия 1.0.3 и е отстранен в актуализациите 1.0.10, 1.1.1 и 1.2.1. Уязвимостта засяга приложения и библиотеки, използващи библиотеката libbrotlidec.
• Платформа Node.js на JavaScript, проблемата е устранена в обновленията 26.12.1, 24.22.1 и 22.23.4. Застрашени могат да бъдат приложенията, които използват метода fetch() за извикване на външно съдържание, който автоматично декодира HTTP отговори с заглавие «Content-Encoding: br». Уязвимостта също така се проявява при директно извикване на методите zlib.brotliDecompress*(), createBrotliDecompress() и brotli.decompress() за разпаковане на външно съдържание или при приемане на HTTP заявки с парсинг чрез библиотеките Express 5 и body-parser 2.x.
• Python пакетите brotli и brotlicffi (корекцията е предложена в версия 1.2.1) и проектите, които ги използват, сред които популярните библиотеки urllib3, aiohttp, httpx и Scrapy, декодират отговори с заглавие «Content-Encoding: br» при достъп до външни уеб ресурси.
• HTTP сървъри, HTTP проксита, HTTP клиенти и уеб браузъри, които поддържат компресия Brotli («Accept-Encoding: br»). В Apache httpd се предлага mod_brotli (дефинирано е по подразбиране). За nginx е наличен външен модул ngx_brotli (версията на brotli в зависимостите е актуализирана до последната версия). В Chrome/Chromium и Firefox проблемата вече е решена в едно от предишните обновления. В проксито,сървър Envoy уязвимостта е решена в версиите 1.40.0, 1.39.3, 1.38.6, 1.37.8, 1.36.12.
• .NET runtime, когато се използват в приложението методите BrotliDecoder, BrotliStream и HttpClient. Уязвимостта все още не е решена.
• PHP разширението brotli при използването на функцията brotli_uncompress(). Корекцията е в процес на подготовка.
• Ruby пакетът brotli при използването на метода Brotli.inflate. Уязвимостта все още не е решена.
• СУБД DuckDB при импортиране на компресирани Parquet файлове. Корекцията е в процес на подготовка.
• СУБД ClickHouse. Корекцията е в процес на подготовка.
• СУБД YDB. Уязвимостта все още не е решена.
• Apache Arrow при импортиране на компресирани Parquet файлове. Корекцията е в процес на подготовка.
• libjxl (при компресиране на метаданни в JPEG XL се използва Brotli).
  Корекцията е в процес на подготовка.
• Архиваторите NanaZip, 7-Zip-zstd и p7zip при разпаковане на br файлове. Уязвимостта не е решена.
• MuPDF. Уязвимостта не е решена.
• UEFI фърмуери на база EDK II и UEFITool, компресирани с помощта на Brotli. Корекцията е в процес на подготовка — EDK II и UEFITool.
• JavaScript платформата Bun. Уязвимостта е решена в версия 1.4.4.
• Платформа за управление на микросервизи Istio. Уязвимостта е решена в версиите 1.29.9, 1.30.6 и 1.31.2.
• curl и libcurl, уязвимостта се проявява при наличие на уязвима версия libbrotlidec в зависимостите.
• Парсери на формата на шрифтове Web Open Font (WOFF), при който се използва
  Brotli.
• Brotli4j, SumatraPDF, Ghostscript, CatBoost и YTsaurus. Уязвимостта беше отстранена в едно от обновленията.

Източник: opennet.ru