{"id":183985,"date":"2026-10-24T23:40:31","date_gmt":"2026-10-24T21:40:31","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/kriticheskaya-uyazvimost-v-dekodirovshhike-brotli-zatragivayushhaya-node-js-bun-brauzery-http-klienty-i-drugie-proekty"},"modified":"2026-10-24T23:40:36","modified_gmt":"2026-10-24T21:40:36","slug":"critical-vulnerability-in-the-brotli-decoder-affecting-node-js-bun-browsers-http-clients-and-other-projects","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/critical-vulnerability-in-the-brotli-decoder-affecting-node-js-bun-browsers-http-clients-and-other-projects","title":{"rendered":"Vulnerabilidad cr\u00edtica en el decodificador Brotli que afecta a Node.JS, Bun, navegadores, clientes HTTP y otros proyectos","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Se ha detectado una vulnerabilidad en la biblioteca de referencia del decodificador del formato de compresi\u00f3n de datos Brotli (CVE-2026-111497, nombres en clave Broccoli2Shell y HTTP2Shell), que conduce a un desbordamiento de b\u00fafer al procesar datos comprimidos especialmente formateados. Seg\u00fan Google, la vulnerabilidad puede ser utilizada para la ejecuci\u00f3n remota de c\u00f3digo en proyectos que utilizan la implementaci\u00f3n oficial del decodificador Brotli. Entre los proyectos afectados por esta vulnerabilidad se encuentran: Node.js, Bun, Envoy, Istio, navegadores web, servidores proxy, clientes HTTP, servidores HTTP, compresores, servidores proxy, firmware UEFI, visores JPEG XL, bibliotecas de contenido de Python, Ruby, Java, PHP y .NET y sus dependencias relacionadas. <\/p>\n
El problema fue identificado por OpenAI en febrero de este a\u00f1o y se bloque\u00f3 en la base de c\u00f3digo de Brotli mediante el descarte de flujos incorrectos durante la decodificaci\u00f3n. El 22 de octubre se publicaron versiones corregidas de Brotli 1.0.10, 1.1.1 y 1.2.1 en las que se anunci\u00f3 claramente la eliminaci\u00f3n de la vulnerabilidad y se corrigi\u00f3 el problema en cuesti\u00f3n. El mismo d\u00eda se cre\u00f3 un prototipo de exploit que permiti\u00f3 la ejecuci\u00f3n remota de c\u00f3digo en condiciones de laboratorio, utilizando compilaciones no est\u00e1ndar (en las compilaciones est\u00e1ndar se produc\u00eda un fallo). M\u00e1s tarde, la empresa Imperva registr\u00f3 un ataque a compilaciones est\u00e1ndar de Node.js 24.22.0 en un entorno Linux en un sistema ARM64.<\/p>\n
La vulnerabilidad conduce a una escritura fuera del b\u00fafer debido al manejo incorrecto de errores durante el an\u00e1lisis de bloques en el flujo comprimido. La funci\u00f3n DecodeBlockTypeAndLength() devolv\u00eda solo valores true y false en lugar del c\u00f3digo de error, lo que imped\u00eda que el c\u00f3digo llamador diferenciara entre una corrupci\u00f3n del flujo y un estado que requer\u00eda pasar datos adicionales a la funci\u00f3n. En caso de que se indique un tipo de bloque de datos comprimidos incorrecto en el flujo, el decodificador lo interpretaba no como un error, sino como un estado de falta de datos que requer\u00eda una lectura adicional del flujo. Pero dado que el b\u00fafer asignado no estaba dise\u00f1ado para datos le\u00eddos adicionalmente, se escrib\u00edan en un \u00e1rea fuera de sus l\u00edmites, donde se almacenaba el estado interno del decodificador.<\/p>\n
Proyectos vulnerables:<\/p>\n
\n
La biblioteca de referencia de Brotli, el problema se manifiesta desde la versi\u00f3n 1.0.3 y ha sido corregido en las actualizaciones 1.0.10, 1.1.1 y 1.2.1. La vulnerabilidad afecta a aplicaciones y bibliotecas que utilizan la biblioteca libbrotlidec.\n
La plataforma de JavaScript Node.js, el problema se resolvi\u00f3 en las actualizaciones 26.12.1, 24.22.1 y 22.23.4. Las aplicaciones que utilizan el m\u00e9todo fetch() para solicitar contenido de terceros pueden ser atacadas, ya que este m\u00e9todo decodifica autom\u00e1ticamente las respuestas HTTP con el encabezado \u00abContent-Encoding: br\u00bb. La vulnerabilidad tambi\u00e9n se manifiesta al llamar directamente a los m\u00e9todos zlib.brotliDecompress*(), createBrotliDecompress() y brotli.decompress() para descomprimir contenido externo o al recibir solicitudes HTTP analizadas a trav\u00e9s de las bibliotecas Express 5 y body-parser 2.x.\n
Los paquetes de Python brotli y brotlicffi (una correcci\u00f3n fue propuesta en la versi\u00f3n 1.2.1) y los proyectos que los utilizan, entre los que se incluyen las populares bibliotecas urllib3, aiohttp, httpx y Scrapy, que decodifican respuestas con el encabezado \u00abContent-Encoding: br\u00bb al acceder a recursos web externos.\n
Servidores HTTP, proxies HTTP, clientes HTTP y navegadores web que admiten la compresi\u00f3n Brotli (\u00abAccept-Encoding: br\u00bb). En Apache httpd se incluye mod_brotli (desactivado por defecto). Para nginx, hay un m\u00f3dulo de terceros ngx_brotli (la versi\u00f3n de brotli en las dependencias se ha actualizado a la actual). En Chrome\/Chromium y Firefox, el problema ya se ha solucionado en una de las actualizaciones anteriores. En proxy-servidor<\/a> Envoy, la vulnerabilidad se ha corregido en las versiones 1.40.0, 1.39.3, 1.38.6, 1.37.8, 1.36.12.\n