{"id":183985,"date":"2026-10-24T23:40:31","date_gmt":"2026-10-24T21:40:31","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/kriticheskaya-uyazvimost-v-dekodirovshhike-brotli-zatragivayushhaya-node-js-bun-brauzery-http-klienty-i-drugie-proekty"},"modified":"2026-10-24T23:40:36","modified_gmt":"2026-10-24T21:40:36","slug":"critical-vulnerability-in-the-brotli-decoder-affecting-node-js-bun-browsers-http-clients-and-other-projects","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/critical-vulnerability-in-the-brotli-decoder-affecting-node-js-bun-browsers-http-clients-and-other-projects","title":{"rendered":"Kriitiline haavatavus Brotli dekooderites, mis m\u00f5jutab Node.JS, Bun, brausereid, HTTP-kliente ja teisi projekte","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Brotli andmete kokkusurumise dekoodija standardraamatukogus on avastatud haavatavus (CVE-2026-111497, koodnimed Broccoli2Shell ja HTTP2Shell), mis viib puhver\u00fclekande \u00fclevooluni spetsiaalselt vormindatud surutud andmete t\u00f6\u00f6tlemisel. Google'i andmetel v\u00f5ib haavatavust kasutada kaugt\u00e4idev\u00f5tmise r\u00fcndega projektides, mis kasutavad Brotli dekoodija ametlikku teostust. Haavatavusega seotud projektide hulka kuuluvad: Node.js, Bun, Envoy, Istio, veebibrauserid, vahe serverid, HTTP-kliendid, HTTP-serverid, arhivaarid, UEFI-firmav\u00e4rskendused, JPEG XL vaatlejate, Python, Ruby, Java, PHP ja .NET sisuga dekooderite raamatukogud ja nendega seotud s\u00f5ltuvused. <\/p>\n
Probleem avastati OpenAI poolt k\u00e4esoleva aasta veebruaris ja blokeeriti Brotli koodibaasis vigaste voogude k\u00f5rvaldamisega dekoodimise k\u00e4igus. 22. oktoobril avaldati korrigeerimisv\u00e4ljaanded Brotli 1.0.10, 1.1.1 ja 1.2.1, kus oli selgelt m\u00e4rgitud haavatavuse k\u00f5rvaldamine ja probleemi olemus parandatud. Sel samal p\u00e4eval luoti protot\u00fc\u00fcp, mis v\u00f5imaldas laboritingimustes kaugelt koodi t\u00e4ide viia, kasutades mitte-standardseid kogusid (standardsetes kogudes toimus s\u00fcsteemih\u00e4ire). Hiljem tuvastas Imperva r\u00fcnnaku Node.js 24.22.0 standardkogude vastu Linux\u2019i keskkonnas ARM64 s\u00fcsteemil.<\/p>\n
Haavatavus viib puhverpiiridest v\u00e4ljapoole kirjutamiseni vigase vigade k\u00e4sitlemise t\u00f5ttu surutud voogude plokkide anal\u00fc\u00fcsi k\u00e4igus. Funktsioon DecodeBlockTypeAndLength() tagastas vea koodi asemel ainult true ja false v\u00e4\u00e4rtused, mis ei v\u00f5imaldanud kutse koodil voogude rikkumist eristada seisundist, mis n\u00f5udis t\u00e4iendavate andmete \u00fclekandmist funktsiooni. Kui surutud andmeploki voos oli n\u00e4idatud vale t\u00fc\u00fcp, ei k\u00e4sitlenud dekoodija seda kui viga, vaid andis m\u00f5ista, et voos on andmeid liiga v\u00e4he, mis n\u00f5udis t\u00e4iendavat lugemist. Kuna eraldatud puhver ei olnud ette n\u00e4htud lisalugemise andmete jaoks, kirjutati need v\u00e4lja puhvri piiridest, kuhu salvestati dekoodija siseserver.<\/p>\n
Haavatavuse all olevad projektid:<\/p>\n
\n
Brotli standardraamatukogu, probleem ilmneb alates versioonist 1.0.3 ja parandatakse versioonides 1.0.10, 1.1.1 ja 1.2.1. Haavatavus m\u00f5jutab rakendusi ja raamatukogusid, mis kasutavad libbrotlidec raamatukogu.\n
JavaScript platvorm Node.js, probleem lahendatud versioonides 26.12.1, 24.22.1 ja 22.23.4. R\u00fcnnaku all v\u00f5ivad olla rakendused, mis kasutavad v\u00e4lise sisu p\u00e4rimiseks meetodit fetch(), mis dekodeerib automaatselt HTTP-vastuseid pealkirjaga \u00abContent-Encoding: br\u00bb. Samuti avaldub haavatavus, kui kutsuda otse \u00fcles zlib.brotliDecompress*(), createBrotliDecompress() ja brotli.decompress() meetodeid v\u00e4lise sisu dekompressimiseks v\u00f5i HTTP-p\u00e4ringutega, kasutades Express 5 ja body-parser 2.x teeke.\n
Python-paketid brotli ja brotlicffi (parandus on pakutud versioonis 1.2.1) ning nende abil t\u00f6\u00f6tavad projektid, sealhulgas populaarsed teegid urllib3, aiohttp, httpx ja Scrapy, mis dekodeerivad vastuseid pealkirjaga \u00abContent-Encoding: br\u00bb v\u00e4listele veebiallikaile suunates.\n
HTTP-serverid, HTTP-proksid, HTTP-klientid ja veebibrauserid, mis toetavad Brotli tihendamist (\u00abAccept-Encoding: br\u00bb). Apache httpd sisaldab mod_brotli (vaikimisi keelatud). Nginxile on saadaval kolmanda osapoole moodul ngx_brotli (brotli versioon s\u00f5ltuvustes t\u00f5stetud uuenenud). Chrome'i\/Chromium ja Firefox on probleemi juba varem lahendanud. Proksi-serveris<\/a> Envoy, haavatavus on lahendatud v\u00e4ljaannetes 1.40.0, 1.39.3, 1.38.6, 1.37.8, 1.36.12.\n