{"id":183985,"date":"2026-10-24T23:40:31","date_gmt":"2026-10-24T21:40:31","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/kriticheskaya-uyazvimost-v-dekodirovshhike-brotli-zatragivayushhaya-node-js-bun-brauzery-http-klienty-i-drugie-proekty"},"modified":"2026-10-24T23:40:36","modified_gmt":"2026-10-24T21:40:36","slug":"critical-vulnerability-in-the-brotli-decoder-affecting-node-js-bun-browsers-http-clients-and-other-projects","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/critical-vulnerability-in-the-brotli-decoder-affecting-node-js-bun-browsers-http-clients-and-other-projects","title":{"rendered":"Kritische Sicherheitsanf\u00e4lligkeit im Brotli-Dekodierer, die Node.JS, Bun, Browser, HTTP-Clients und andere Projekte betrifft","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In der Referenzbibliothek f\u00fcr den Decoder des Datenkompressionsformats Brotli wurde eine Schwachstelle (CVE-2026-111497, Codenamen Broccoli2Shell und HTTP2Shell) entdeckt, die zu einem Puffer\u00fcberlauf bei der Verarbeitung eigens gestalteter komprimierter Daten f\u00fchren kann. Laut Google kann diese Schwachstelle zum Remote-Codeausf\u00fchrung bei Angriffen auf Projekte verwendet werden, die die offizielle Implementierung des Brotli-Decoders nutzen. Betroffene Projekte sind unter anderem: Node.js, Bun, Envoy, Istio, Webbrowser, Proxys, HTTP-Clients, HTTP-Server, Archivierungssoftware, UEFI-Firmware, JPEG XL-Viewer, Content-Decodierbibliotheken f\u00fcr Python, Ruby, Java, PHP und .NET sowie deren Abh\u00e4ngigkeiten. <\/p>\n
Das Problem wurde von OpenAI im Februar dieses Jahres entdeckt und im Quellcode von Brotli durch das Verwerfen ung\u00fcltiger Streams beim Dekodieren behoben. Am 22. Oktober wurden die Korrekturausgaben von Brotli 1.0.10, 1.1.1 und 1.2.1 ver\u00f6ffentlicht, in denen die Behebung der Schwachstelle explizit angegeben wurde und die eigentliche Problematik behoben wurde. An diesem Tag wurde auch ein Exploit-Prototyp erstellt, der es erm\u00f6glichen sollte, unter Laborbedingungen Remote-Code auszuf\u00fchren, wenn nicht standardm\u00e4\u00dfige Builds verwendet wurden (bei standardm\u00e4\u00dfigen Builds kam es zu einem Absturz). Sp\u00e4ter erfasste das Unternehmen Imperva einen Angriff auf die Standardbuilds von Node.js 24.22.0 in einer Linux-Umgebung auf einem ARM64-System.<\/p>\n
Die Schwachstelle f\u00fchrt zu einer Puffer\u00fcberlauf durch fehlerhafte Fehlerbehandlung beim Parsen von Bl\u00f6cken im komprimierten Stream. Die Funktion DecodeBlockTypeAndLength() gab anstelle eines Fehlercodes nur die Werte true und false zur\u00fcck, was es dem aufrufenden Code unm\u00f6glich machte, einen besch\u00e4digten Stream von einem Zustand zu unterscheiden, der zus\u00e4tzliche Daten an die Funktion \u00fcbergeben erforderten. Wenn im Stream ein ung\u00fcltiger Typ f\u00fcr einen komprimierten Datenblock angegeben wurde, interpretierte der Decoder dies nicht als Fehler, sondern als Datenmangel, der zus\u00e4tzliches Lesen aus dem Stream erforderte. Da der reservierte Puffer jedoch nicht f\u00fcr die zus\u00e4tzlich gelesenen Daten ausgelegt war, wurden diese au\u00dferhalb seines Bereichs gespeichert, wo sich der interne Zustand des Decoders befand.<\/p>\n
Von der Schwachstelle betroffene Projekte:<\/p>\n
\n
Die Referenzbibliothek Brotli, das Problem trat seit Version 1.0.3 auf und wurde in den Updates 1.0.10, 1.1.1 und 1.2.1 behoben. Die Schwachstelle betrifft Anwendungen und Bibliotheken, die die libbrotlidec-Bibliothek verwenden.\n
Die JavaScript-Plattform Node.js, das Problem wurde in den Updates 26.12.1, 24.22.1 und 22.23.4 behoben. Angreifbar sind Anwendungen, die die Methode fetch() zur Anforderung von Inhalten von Drittanbietern verwenden, die automatisch HTTP-Antworten mit dem Header \u201eContent-Encoding: br\u201c dekodiert. Die Schwachstelle zeigt sich auch bei direkten Aufrufen der Methoden zlib.brotliDecompress*(), createBrotliDecompress() und brotli.decompress() zum Entpacken von Inhalten von Drittanbietern oder bei der Annahme von HTTP-Anfragen mit Parsing \u00fcber die Bibliotheken Express 5 und body-parser 2.x.\n
Python-Pakete brotli und brotlicffi (Patch in Version 1.2.1 vorgeschlagen) sowie die Projekte, die sie verwenden, darunter die beliebten Bibliotheken urllib3, aiohttp, httpx und Scrapy, dekodieren Antworten mit dem Header \u201eContent-Encoding: br\u201c, wenn sie auf externe Web-Ressourcen zugreifen.\n
HTTP-Server, HTTP-Proxy, HTTP-Clients und Webbrowser, die Brotli-Kompression unterst\u00fctzen (\u201eAccept-Encoding: br\u201c). In Apache httpd wird mod_brotli mitgeliefert (standardm\u00e4\u00dfig deaktiviert). F\u00fcr nginx ist das Drittanbieter-Modul ngx_brotli verf\u00fcgbar (die Version von Brotli in den Abh\u00e4ngigkeiten wurde auf den aktuellen Stand gebracht). In Chrome\/Chromium und Firefox wurde das Problem bereits in einem der letzten Updates behoben. In den Proxy-Server<\/a> Die Schwachstelle in Envoy wurde in den Versionen 1.40.0, 1.39.3, 1.38.6, 1.37.8, 1.36.12 behoben.\n