{"id":183985,"date":"2026-10-24T23:40:31","date_gmt":"2026-10-24T21:40:31","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/kriticheskaya-uyazvimost-v-dekodirovshhike-brotli-zatragivayushhaya-node-js-bun-brauzery-http-klienty-i-drugie-proekty"},"modified":"2026-10-24T23:40:36","modified_gmt":"2026-10-24T21:40:36","slug":"critical-vulnerability-in-the-brotli-decoder-affecting-node-js-bun-browsers-http-clients-and-other-projects","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/critical-vulnerability-in-the-brotli-decoder-affecting-node-js-bun-browsers-http-clients-and-other-projects","title":{"rendered":"Kritieke kwetsbaarheid in de Brotli-decoder die van invloed is op Node.JS, Bun, browsers, HTTP-clients en andere projecten","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In de referentiebibliotheek voor de decodering van het gecomprimeerde dataformaat Brotli is een kwetsbaarheid ontdekt (CVE-2026-111497, codenaam Broccoli2Shell en HTTP2Shell), die leidt tot een bufferoverflow bij de verwerking van speciaal gevormde gecomprimeerde gegevens. Volgens Google kan deze kwetsbaarheid worden gebruikt voor remote code execution bij aanvallen op projecten die de offici\u00eble implementatie van de Brotli-decoder gebruiken. Tot de getroffen projecten behoren: Node.js, Bun, Envoy, Istio, web browsers, proxyservers, HTTP-clients, HTTP-servers, archiveringsprogramma's, proxyservers, UEFI-firmware, JPEG XL-viewers, content decodering bibliotheken voor Python, Ruby, Java, PHP en .NET, en de bijbehorende afhankelijkheden. <\/p>\n
Het probleem werd in februari van dit jaar door OpenAI ontdekt en geblokkeerd in de codebase van Brotli door onjuiste streams tijdens decodering te negeren. Op 22 oktober zijn de correctieve versies Brotli 1.0.10, 1.1.1 en 1.2.1 uitgebracht, waarin expliciet werd vermeld dat de kwetsbaarheid was verholpen en het probleem zelf werd opgelost. Op dezelfde dag werd er een prototype-exploit gemaakt, waarmee code op afstand kon worden uitgevoerd onder laboratoriumomstandigheden, met behulp van niet-standaard builds (in standaard builds kwam een crash voor). Later documenteerde Imperva een aanval op standaard builds van Node.js 24.22.0 in een Linux-omgeving op een ARM64-systeem.<\/p>\n
De kwetsbaarheid leidt tot een buffer overflow door onjuiste foutverwerking tijdens het parseren van blokken in de gecomprimeerde stroom. De functie DecodeBlockTypeAndLength() retourneerde in plaats van de foutcode alleen de waarden true en false, waardoor de aanroepende code niet kon onderscheiden of de stroom corrupt was of dat een status vereiste om extra gegevens naar de functie door te geven. In het geval dat een onjuiste bloktype in de stroom werd opgegeven, beschouwde de decoder het niet als een fout, maar als een toestand van gegevensgebrek die aanvullende lezing uit de stroom vereiste. Maar omdat de toegewezen buffer niet was berekend op de extra gelezen gegevens, werden deze buiten zijn grenzen geschreven, wat het interne toestand van de decoder be\u00efnvloedde.<\/p>\n
Kwetsbare projecten:<\/p>\n
\n
De referentiebibliotheek brotli, het probleem doet zich voor vanaf versie 1.0.3 en is verholpen in de updates 1.0.10, 1.1.1 en 1.2.1. De kwetsbaarheid treft applicaties en bibliotheken die gebruik maken van de libbrotlidec-bibliotheek.\n
JavaScript-platform Node.js, probleem opgelost in de updates 26.12.1, 24.22.1 en 22.23.4. Aanvallen kunnen gericht zijn op applicaties die gebruikmaken van de fetch()-methode voor externe contentaanvragen, die automatisch HTTP-antwoorden met de header 'Content-Encoding: br' decoderen. De kwetsbaarheid manifesteert zich ook bij directe aanroep van de zlib.brotliDecompress*(), createBrotliDecompress() en brotli.decompress() methoden voor het uitpakken van externe inhoud of bij ontvangst van HTTP-aanvragen met parsing via de Express 5 en body-parser 2.x bibliotheken.\n
Python-pakketten brotli en brotlicffi (oplossing aangeboden in versie 1.2.1) en de projecten die deze gebruiken, waaronder populaire bibliotheken zoals urllib3, aiohttp, httpx en Scrapy, die antwoorden decoderen met de header 'Content-Encoding: br' bij toegang tot externe webbronnen.\n
HTTP-servers, HTTP-proxies, HTTP-clients en webbrowsers die Brotli-compressie ondersteunen ('Accept-Encoding: br'). In Apache httpd is mod_brotli inbegrepen (standaard uitgeschakeld). Voor nginx is er een externe module ngx_brotli (de brotli-versie in afhankelijkheden is ge\u00fcpdatet naar de actuele versie). In Chrome\/Chromium en Firefox is het probleem al opgelost in een van de eerdere updates. In de proxy-de server<\/a> Envoy is de kwetsbaarheid opgelost in de versies 1.40.0, 1.39.3, 1.38.6, 1.37.8, 1.36.12.\n