{"id":183985,"date":"2026-10-24T23:40:31","date_gmt":"2026-10-24T21:40:31","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/kriticheskaya-uyazvimost-v-dekodirovshhike-brotli-zatragivayushhaya-node-js-bun-brauzery-http-klienty-i-drugie-proekty"},"modified":"2026-10-24T23:40:36","modified_gmt":"2026-10-24T21:40:36","slug":"critical-vulnerability-in-the-brotli-decoder-affecting-node-js-bun-browsers-http-clients-and-other-projects","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/critical-vulnerability-in-the-brotli-decoder-affecting-node-js-bun-browsers-http-clients-and-other-projects","title":{"rendered":"Vulnerabilit\u00e0 critica nel decodificatore Brotli, che interessa Node.JS, Bun, browser, client HTTP e altri progetti","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
\u00c8 stata identificata una vulnerabilit\u00e0 nella libreria di riferimento per il decodificatore del formato di compressione dati Brotli (CVE-2026-111497, i nomi in codice Broccoli2Shell e HTTP2Shell), che porta a un overflow del buffer quando vengono elaborati dati compressi appositamente formati. Secondo Google, la vulnerabilit\u00e0 pu\u00f2 essere sfruttata per l'esecuzione remota di codice in attacchi a progetti che utilizzano l'implementazione ufficiale del decodificatore Brotli. Tra i progetti interessati dalla vulnerabilit\u00e0 ci sono: Node.js, Bun, Envoy, Istio, browser web, server proxy, client HTTP, server HTTP, archiviatori, firmware UEFI, visualizzatori JPEG XL, librerie di contenuti per Python, Ruby, Java, PHP e .NET e relative dipendenze. <\/p>\n
Il problema \u00e8 stato identificato da OpenAI nel febbraio di quest'anno ed \u00e8 stato bloccato nel codice sorgente di Brotli attraverso l'ignoring di flussi non validi durante la decodifica. Il 22 ottobre sono stati pubblicati aggiornamenti correttivi di Brotli 1.0.10, 1.1.1 e 1.2.1 in cui \u00e8 stata esplicitamente dichiarata la risoluzione della vulnerabilit\u00e0 e risolto il problema di fondo. Nello stesso giorno \u00e8 stato creato un prototipo di exploit che ha permesso l'esecuzione remota di codice in condizioni di laboratorio, utilizzando build non standard (nelle build standard si verificava un crash). In seguito, Imperva ha registrato un attacco a build standard di Node.js 24.22.0 nell'ambiente Linux su sistema ARM64.<\/p>\n
La vulnerabilit\u00e0 porta a una scrittura oltre il buffer a causa di una gestione errata degli errori durante l'analisi dei blocchi nel flusso compresso. La funzione DecodeBlockTypeAndLength() restituiva solo i valori true e false invece di un codice di errore, impedendo al codice chiamante di distinguere un danneggiamento del flusso da uno stato che richiede l'invio di ulteriori dati alla funzione. Nel caso venisse specificato un tipo di blocco di dati compressi non valido nel flusso, il decodificatore non lo interpretava come errore, ma come uno stato di carenza di dati che richiedeva una lettura aggiuntiva dal flusso. Poich\u00e9 il buffer allocato non era calcolato per i dati letti aggiuntivi, questi venivano scritti in un'area oltre il suo limite, dove era memorizzato lo stato interno del decodificatore.<\/p>\n
Progetti affetti dalla vulnerabilit\u00e0:<\/p>\n
\n
La libreria di riferimento per Brotli presenta il problema a partire dalla version 1.0.3 ed \u00e8 stato risolto negli aggiornamenti 1.0.10, 1.1.1 e 1.2.1. La vulnerabilit\u00e0 influisce su applicazioni e librerie che utilizzano la libreria libbrotlidec.\n
La piattaforma JavaScript Node.js ha risolto il problema negli aggiornamenti 26.12.1, 24.22.1 e 22.23.4. Possono essere attaccate le applicazioni che utilizzano il metodo fetch() per richiedere contenuti esterni, che decodifica automaticamente le risposte HTTP con l'intestazione \"Content-Encoding: br\". La vulnerabilit\u00e0 si manifesta anche quando si chiamano direttamente i metodi zlib.brotliDecompress*(), createBrotliDecompress() e brotli.decompress() per decomprimere contenuti esterni o quando si ricevono richieste HTTP analizzate tramite le librerie Express 5 e body-parser 2.x.\n
I pacchetti Python brotli e brotlicffi (la correzione \u00e8 stata proposta nella versione 1.2.1) e i progetti che li utilizzano, tra cui le popolari librerie urllib3, aiohttp, httpx e Scrapy, decodificano le risposte con l'intestazione \"Content-Encoding: br\" quando si accede a risorse web esterne.\n
Server HTTP, proxy HTTP, client HTTP e browser web che supportano la compressione Brotli (\"Accept-Encoding: br\"). In Apache httpd \u00e8 incluso mod_brotli (disattivato per impostazione predefinita). Per nginx \u00e8 disponibile un modulo di terze parti ngx_brotli (la versione di brotli nelle dipendenze \u00e8 stata aggiornata all'attuale). In Chrome\/Chromium e Firefox il problema \u00e8 gi\u00e0 stato risolto in uno degli aggiornamenti precedenti. Nel proxy-server<\/a> La vulnerabilit\u00e0 di Envoy \u00e8 stata risolta nelle versioni 1.40.0, 1.39.3, 1.38.6, 1.37.8, 1.36.12.\n