{"id":183985,"date":"2026-10-24T23:40:31","date_gmt":"2026-10-24T21:40:31","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/kriticheskaya-uyazvimost-v-dekodirovshhike-brotli-zatragivayushhaya-node-js-bun-brauzery-http-klienty-i-drugie-proekty"},"modified":"2026-10-24T23:40:36","modified_gmt":"2026-10-24T21:40:36","slug":"critical-vulnerability-in-the-brotli-decoder-affecting-node-js-bun-browsers-http-clients-and-other-projects","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/critical-vulnerability-in-the-brotli-decoder-affecting-node-js-bun-browsers-http-clients-and-other-projects","title":{"rendered":"Kritisk s\u00e5rbarhed i Brotli-dekoderen, der p\u00e5virker Node.JS, Bun, browsere, HTTP-klienter og andre projekter","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
I biblioteket med den referenceimplementering af Brotli data komprimeringsafkoderen er der opdaget en s\u00e5rbarhed (CVE-2026-111497, kodenavne Broccoli2Shell og HTTP2Shell), der f\u00f8rer til buffer overflow ved behandling af specielt formaterede komprimerede data. If\u00f8lge Google kan s\u00e5rbarheden udnyttes til fjernudf\u00f8relse af kode ved angreb p\u00e5 projekter, der bruger den officielle implementering af Brotli-afkoderen. Blandt de ber\u00f8rte projekter er: Node.js, Bun, Envoy, Istio, web-browsere, proxyservere, HTTP-klienter, HTTP-servere, arkivprogrammer, UEFI-firmware, JPEG XL-visningsprogrammer, indhold dekodningsbiblioteker for Python, Ruby, Java, PHP og .NET samt tilknyttede afh\u00e6ngigheder. <\/p>\n
Problemet blev opdaget af OpenAI i februar i \u00e5r og blev blokeret i kodebasen for Brotli ved at forkaste ugyldige stream ved dekodning. Den 22. oktober blev der offentliggjort korrektioner i Brotli 1.0.10, 1.1.1 og 1.2.1, hvori det klart blev angivet, at s\u00e5rbarheden var udbedret, og selve problemet var blevet l\u00f8st. Samme dag blev der udviklet en prototype af et exploit, der tillod fjernudf\u00f8relse af kode under laboratoriebetingelser ved brug af ikke-standardiserede builds (i standard builds opstod der en crashe). Senere dokumenterede Imperva et angreb p\u00e5 den officielle build af Node.js 24.22.0 i Linux-milj\u00f8et p\u00e5 ARM64-systemet.<\/p>\n
S\u00e5rbarheden f\u00f8rer til skriving uden for bufferen p\u00e5 grund af forkert fejlbehandling under parsing af blokke i den komprimerede stream. Funktionen DecodeBlockTypeAndLength() returnerede i stedet for en fejlkode kun v\u00e6rdierne true og false, hvilket forhindrede den kaldende kode i at skelne mellem streamkorruption og en tilstand, der kr\u00e6vede overf\u00f8rsel af yderligere data til funktionen. Hvis der blev angivet en ugyldig type blokke af komprimerede data i str\u00f8mmen, opfattede afkoderen det ikke som en fejl, men som en tilstand med utilstr\u00e6kkelige data, der kr\u00e6vede yderligere l\u00e6sning fra str\u00f8mmene. Men da den tildelte buffer ikke var udregnet til de ekstra l\u00e6ste data, blev de skrevet ind i omr\u00e5det uden for dens gr\u00e6nser, hvor den interne tilstand af afkoderen blev opbevaret.<\/p>\n
Projekter, der er s\u00e5rbare:<\/p>\n
\n
Referencebiblioteket for Brotli, problemet optr\u00e6der fra version 1.0.3 og er blevet l\u00f8st i opdateringerne 1.0.10, 1.1.1 og 1.2.1. S\u00e5rbarheden p\u00e5virker applikationer og biblioteker, der bruger bibliotekerne libbrotlidec.\n
JavaScript-platformen Node.js, problemet er blevet l\u00f8st i opdateringerne 26.12.1, 24.22.1 og 22.23.4. Applikationer, der bruger fetch()-metoden til at anmode om ekstern indhold, kan blive angrebet; denne metode dekoderer automatisk HTTP-svar med headeren 'Content-Encoding: br'. S\u00e5rbarheden er ogs\u00e5 til stede ved direkte kald af metoderne zlib.brotliDecompress*(), createBrotliDecompress() og brotli.decompress() for at udpakkede eksternt indhold eller ved modtagelse af HTTP-anmodninger, der behandles gennem bibliotekerne Express 5 og body-parser 2.x.\n
Python-pakkerne brotli og brotlicffi (rettelse foresl\u00e5et i version 1.2.1) samt projekter, der bruger dem, herunder popul\u00e6re biblioteker som urllib3, aiohttp, httpx og Scrapy, som dekoderer svar med headeren 'Content-Encoding: br', n\u00e5r de henvender sig til eksterne webressourcer.\n
HTTP-servere, HTTP-proxyer, HTTP-klienter og web-browsere, der underst\u00f8tter Brotli-komprimering ('Accept-Encoding: br'). I Apache httpd leveres mod_brotli (deaktivere som standard). For nginx er der tilg\u00e6ngelig et tredjepartsmodul ngx_brotli (versionen af brotli i afh\u00e6ngighederne opdateres til den aktuelle). Problemet er allerede blevet l\u00f8st i et af de tidligere opdateringer i Chrome\/Chromium og Firefox. I proxy-serveren<\/a> Envoy s\u00e5rbarhed er l\u00f8st i udgivelserne 1.40.0, 1.39.3, 1.38.6, 1.37.8, 1.36.12.\n