{"id":183985,"date":"2026-10-24T23:40:31","date_gmt":"2026-10-24T21:40:31","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/kriticheskaya-uyazvimost-v-dekodirovshhike-brotli-zatragivayushhaya-node-js-bun-brauzery-http-klienty-i-drugie-proekty"},"modified":"2026-10-24T23:40:36","modified_gmt":"2026-10-24T21:40:36","slug":"critical-vulnerability-in-the-brotli-decoder-affecting-node-js-bun-browsers-http-clients-and-other-projects","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/critical-vulnerability-in-the-brotli-decoder-affecting-node-js-bun-browsers-http-clients-and-other-projects","title":{"rendered":"Vuln\u00e9rabilit\u00e9 critique dans le d\u00e9codeur Brotli, affectant Node.JS, Bun, les navigateurs, les clients HTTP et d'autres projets.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Une vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 d\u00e9couverte dans la biblioth\u00e8que avec l'impl\u00e9mentation de r\u00e9f\u00e9rence du d\u00e9codeur du format de compression de donn\u00e9es Brotli (CVE-2026-111497, noms de code Broccoli2Shell et HTTP2Shell), entra\u00eenant un d\u00e9bordement de tampon lors du traitement de donn\u00e9es comprim\u00e9es sp\u00e9cialement con\u00e7ues. Selon Google, la vuln\u00e9rabilit\u00e9 peut \u00eatre exploit\u00e9e pour ex\u00e9cuter du code \u00e0 distance lors d'attaques sur des projets utilisant l'impl\u00e9mentation officielle du d\u00e9codeur Brotli. Parmi les projets touch\u00e9s par la vuln\u00e9rabilit\u00e9, on trouve : Node.js, Bun, Envoy, Istio, navigateurs web, serveurs proxy, clients HTTP, serveurs HTTP, outils de compression, firmwares UEFI, visionneuses JPEG XL, biblioth\u00e8ques de d\u00e9codage de contenu pour Python, Ruby, Java, PHP et .NET ainsi que leurs d\u00e9pendances. <\/p>\n
Le probl\u00e8me a \u00e9t\u00e9 d\u00e9couvert par OpenAI en f\u00e9vrier de cette ann\u00e9e et a \u00e9t\u00e9 corrig\u00e9 dans la base de code de Brotli en \u00e9cartant les flux incorrects lors du d\u00e9codage. Le 22 octobre, des versions correctives de Brotli 1.0.10, 1.1.1 et 1.2.1 ont \u00e9t\u00e9 publi\u00e9es, dans lesquelles il a \u00e9t\u00e9 clairement indiqu\u00e9 que la vuln\u00e9rabilit\u00e9 avait \u00e9t\u00e9 corrig\u00e9e et que le probl\u00e8me fondamental \u00e9tait r\u00e9solu. Ce m\u00eame jour, un prototype d'exploit a \u00e9t\u00e9 cr\u00e9\u00e9, permettant d'ex\u00e9cuter du code \u00e0 distance dans des conditions de laboratoire, en utilisant des compilations non standard (des plantages se produisaient avec des compilations standard). Plus tard, la soci\u00e9t\u00e9 Imperva a confirm\u00e9 une attaque sur les compilations standard de Node.js 24.22.0 dans un environnement Linux sur un syst\u00e8me ARM64.<\/p>\n
La vuln\u00e9rabilit\u00e9 entra\u00eene une \u00e9criture hors limites du tampon en raison d'un traitement incorrect des erreurs lors de l'analyse des blocs dans le flux compress\u00e9. La fonction DecodeBlockTypeAndLength() renvoyait uniquement les valeurs true et false au lieu d'un code d'erreur, ce qui emp\u00eachait le code appelant de distinguer une corruption de flux d'un \u00e9tat n\u00e9cessitant le passage de donn\u00e9es suppl\u00e9mentaires \u00e0 la fonction. En cas d'indication d'un type de bloc de donn\u00e9es compress\u00e9es incorrect dans le flux, le d\u00e9codeur ne le consid\u00e9rait pas comme une erreur, mais comme un \u00e9tat de manque de donn\u00e9es n\u00e9cessitant une lecture suppl\u00e9mentaire \u00e0 partir du flux. Cependant, comme le tampon allou\u00e9 n'\u00e9tait pas pr\u00e9vu pour des donn\u00e9es lues en plus, elles \u00e9taient \u00e9crites dans une zone en dehors de ses limites, o\u00f9 se trouvait l'\u00e9tat interne du d\u00e9codeur.<\/p>\n
Projets vuln\u00e9rables :<\/p>\n
\n
La biblioth\u00e8que de r\u00e9f\u00e9rence brotli pr\u00e9sente un probl\u00e8me depuis la version 1.0.3 et a \u00e9t\u00e9 corrig\u00e9e dans les mises \u00e0 jour 1.0.10, 1.1.1 et 1.2.1. La vuln\u00e9rabilit\u00e9 concerne les applications et les biblioth\u00e8ques utilisant la biblioth\u00e8que libbrotlidec.\n
La plateforme JavaScript Node.js, probl\u00e8me r\u00e9solu dans les mises \u00e0 jour 26.12.1, 24.22.1 et 22.23.4. Les applications utilisant la m\u00e9thode fetch() pour demander du contenu externe, qui d\u00e9code automatiquement les r\u00e9ponses HTTP avec l'en-t\u00eate \u00ab Content-Encoding: br \u00bb, peuvent \u00eatre attaqu\u00e9es. La vuln\u00e9rabilit\u00e9 se manifeste \u00e9galement lors de l'appel direct des m\u00e9thodes zlib.brotliDecompress*(), createBrotliDecompress() et brotli.decompress() pour d\u00e9compresser du contenu tiers ou lors de la r\u00e9ception de requ\u00eates HTTP analys\u00e9es via les biblioth\u00e8ques Express 5 et body-parser 2.x.\n
Les paquets Python brotli et brotlicffi (correctif propos\u00e9 dans la version 1.2.1) ainsi que les projets qui les utilisent, parmi lesquels les biblioth\u00e8ques populaires urllib3, aiohttp, httpx et Scrapy, qui d\u00e9codent les r\u00e9ponses avec l'en-t\u00eate \u00ab Content-Encoding: br \u00bb lors de l'acc\u00e8s \u00e0 des ressources web externes.\n
Les serveurs HTTP, les proxy HTTP, les clients HTTP et les navigateurs web prenant en charge la compression Brotli (\u00ab Accept-Encoding: br \u00bb). Apache httpd est fourni avec mod_brotli (d\u00e9sactiv\u00e9 par d\u00e9faut). Pour nginx, un module tiers ngx_brotli est disponible (la version de brotli dans les d\u00e9pendances a \u00e9t\u00e9 mise \u00e0 jour). Dans Chrome\/Chromium et Firefox, le probl\u00e8me a d\u00e9j\u00e0 \u00e9t\u00e9 r\u00e9solu dans l'une des mises \u00e0 jour pr\u00e9c\u00e9dentes. Dans le proxy-le serveur<\/a> Envoy, la vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 corrig\u00e9e dans les versions 1.40.0, 1.39.3, 1.38.6, 1.37.8, 1.36.12.\n