פגיעות קריטית במפענח Brotli משפיעה על Node.JS, Bun, דפדפנים, לקוחות HTTP ופרויקטים אחרים.

פגיעות (CVE-2026-111497, שמות קוד Broccoli2Shell ו-HTTP2Shell) זוהתה בספרייה המכילה את יישום הייחוס של מפענח דחיסת הנתונים Brotli. פגיעות זו מובילה לגלישה של מאגר בעת עיבוד נתונים דחוסים שנוצרו במיוחד. על פי גוגל, פגיעות זו יכולה לשמש להפעלת קוד מרחוק בעת תקיפת פרויקטים המשתמשים במימוש הרשמי של מפענח Brotli. הפרויקטים המושפעים כוללים את Node.js, Bun, Envoy, Istio, דפדפני אינטרנט, שרתי פרוקסי, לקוחות HTTP, שרתי HTTP, ארכיונים, שרתי פרוקסי, קושחת UEFI, מציגי JPEG XL, ספריות פענוח תוכן עבור Python, Ruby, Java, PHP ו-.NET, והתלויות הנלוות אליהן.

הבעיה התגלתה על ידי OpenAI בפברואר השנה ונחסמה בבסיס הקוד של Brotli על ידי מחיקת זרמים לא חוקיים במהלך הפענוח. ב-22 באוקטובר פורסמו גרסאות טלאים של Brotli 1.0.10, 1.1.1 ו-1.2.1, שהכריזו במפורש על התיקון וטפלו בבעיה הבסיסית. באותו יום נוצר ניצול אב טיפוס שאפשר ביצוע קוד מרחוק בתנאי מעבדה באמצעות גרסאות build לא סטנדרטיות (גרסאות build סטנדרטיות היו קורסות). Imperva זיהתה מאוחר יותר התקפה על גרסאות build סטנדרטיות של Node.js 24.22.0. Linux- סביבה במערכת ARM64.

הפגיעות גורמת לכתיבה מחוץ לתחום המאגר עקב טיפול לא תקין בשגיאות במהלך ניתוח בלוקים בזרם דחוס. הפונקציה DecodeBlockTypeAndLength() החזירה רק ערכי אמת ושקר במקום קוד שגיאה, מה שמנע מהקורא להבחין בין פגיעה בזרם לבין מצב הדורש העברת נתונים נוספים לפונקציה. אם צוין סוג בלוק נתונים דחוס שגוי בזרם, המפענח פירש זאת לא כשגיאה, אלא כמצב מחוץ לתחום הנתונים הדורש קריאה נוספת מהזרם. עם זאת, מכיוון שהמאגר שהוקצה לא תוכנן להכיל קריאת נתונים נוספת, הנתונים נכתבו לאזור מחוץ למאגר שאחסן את המצב הפנימי של המפענח.

פרויקטים מושפעים:

• ספריית ההפניות Brotli, בעיה שקיימת מאז גרסה 1.0.3 ותוקנה בעדכונים 1.0.10, 1.1.1 ו-1.2.1, משפיעה על יישומים וספריות המשתמשים בספריית libbrotlidec.
• פלטפורמת ה-JavaScript Node.js תוקנה בעדכונים 26.12.1, 24.22.1 ו-22.23.4. יישומים המשתמשים בשיטת fetch() כדי לבקש תוכן של צד שלישי, אשר מפענחת אוטומטית תגובות HTTP עם הכותרת "Content-Encoding: br", עלולים להיות פגיעים. הפגיעות מתבטאת גם בעת קריאה ישירה לשיטות zlib.brotliDecompress*(), createBrotliDecompress() ו-brotli.decompress() כדי לפרק דחיסה של תוכן של צד שלישי, או בעת קבלת בקשות HTTP המנותחות דרך ספריות Express 5 ו-body-parser 2.x.
• חבילות הפייתון brotli ו-brotlicffi (תיקון שהוצע בגרסה 1.2.1) ופרויקטים המשתמשים בהן, כולל הספריות הפופולריות urllib3, aiohttp, httpx ו-Scrapy, אשר מפענחות תגובות עם הכותרת "Content-Encoding: br" בעת גישה למשאבי אינטרנט חיצוניים.
• שרתי HTTP, פרוקסי HTTP, לקוחות HTTP ודפדפני אינטרנט התומכים בדחיסת Brotli ("Accept-Encoding: br"). Apache httpd מגיע עם mod_brotli (מושבת כברירת מחדל). מודול צד שלישי, ngx_brotli, זמין עבור nginx (גרסת brotli בתלויות עודכנה לגרסה העדכנית ביותר). ב-Chrome/Chromium וב-Firefox, הבעיה כבר תוקנה בעדכון קודם. ב-proxy-שרת פגיעות Envoy תוקנה בגרסאות 1.40.0, 1.39.3, 1.38.6, 1.37.8, 1.36.12.
• זמן ריצה של .NET בעת שימוש בשיטות BrotliDecoder, BrotliStream ו-HttpClient ביישום. הפגיעות טרם תוקנה.
• סיומת brotli של PHP בעת שימוש בפונקציה brotli_uncompress(). תיקון בתהליך.
• חבילת הרובי Brotli הייתה פגיעה לניצול לרעה באמצעות שיטת Brotli.inflate. הפגיעות טרם תוקנה.
• DuckDB בעת ייבוא ​​קבצי Parquet דחוסים. תיקון בתהליך.
• מערכת ניהול מסד נתונים של ClickHouse. תיקון בתהליך.
• YDB DBMS. הפגיעות טרם תוקנה.
• Apache Arrow בעת ייבוא ​​קבצי Parquet דחוסים. תיקון בתהליך.
• libjxl (משתמש ב-Brotli לדחיסת מטא-דאטה של ​​JPEG XL).
  תיקון בתהליך ההכנה.
• מערכות הארכיון NanaZip, 7-Zip-zstd ו-p7zip פגיעות בעת פריקת קבצי .br. הפגיעות נותרה בעינה.
• MuPDF. הפגיעות לא תוקנה.
• קושחת UEFI מבוססת על EDK II ו-UEFITool, דחוסה באמצעות Brotli. תיקון נמצא בהכנה עבור EDK II ו-UEFITool.
• מסגרת ה-JavaScript של Bun. הפגיעות תוקנה בגרסה 1.4.4.
• Istio, פלטפורמת ניהול מיקרו-שירותים. הפגיעות תוקנה בגרסאות 1.29.9, 1.30.6 ו-1.31.2.
• ב-curl וב-libcurl, הפגיעות מתבטאת כאשר גרסה פגיעה של libbrotlidec קיימת בתלויות.
• מנתחי פורמט גופן Web Open Font (WOFF), המשתמש ב-
  ברוטלי.
• Brotli4j, SumatraPDF, Ghostscript, CatBoost ו-YTsaurus. הפגיעות תוקנה בעדכון.

מקור: OpenNet.ru