{"id":183985,"date":"2026-10-24T23:40:31","date_gmt":"2026-10-24T21:40:31","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/kriticheskaya-uyazvimost-v-dekodirovshhike-brotli-zatragivayushhaya-node-js-bun-brauzery-http-klienty-i-drugie-proekty"},"modified":"2026-10-24T23:40:36","modified_gmt":"2026-10-24T21:40:36","slug":"critical-vulnerability-in-the-brotli-decoder-affecting-node-js-bun-browsers-http-clients-and-other-projects","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/critical-vulnerability-in-the-brotli-decoder-affecting-node-js-bun-browsers-http-clients-and-other-projects","title":{"rendered":"Krytyczna luka w dekoderze Brotli, dotycz\u0105ca Node.JS, Bun, przegl\u0105darek, klient\u00f3w HTTP i innych projekt\u00f3w","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
W bibliotece z referencyjn\u0105 implementacj\u0105 dekodera formatu kompresji danych Brotli odkryto luk\u0119 (CVE-2026-111497, kody Broccoli2Shell i HTTP2Shell), prowadz\u0105c\u0105 do przepe\u0142nienia bufora podczas przetwarzania specjalnie sformatowanych skompresowanych danych. Wed\u0142ug danych Google luka mo\u017ce by\u0107 wykorzystywana do zdalnego wykonywania kodu w ataku na projekty korzystaj\u0105ce z oficjalnej implementacji dekodera Brotli. W\u015br\u00f3d dotkni\u0119tych luk\u0105 projekt\u00f3w znajduj\u0105 si\u0119: Node.js, Bun, Envoy, Istio, przegl\u0105darki internetowe, serwery proxy, klienci HTTP, serwery HTTP, archiwizatory, UEFI, przegl\u0105darki JPEG XL, biblioteki dekoduj\u0105ce zawarto\u015b\u0107 dla Pythona, Ruby, Java, PHP i .NET oraz zwi\u0105zane z nimi zale\u017cno\u015bci. <\/p>\n
Problem zosta\u0142 wykryty przez firm\u0119 OpenAI w lutym tego roku i zablokowany w kodzie \u017ar\u00f3d\u0142owym Brotli poprzez odrzucenie niepoprawnych strumieni podczas dekodowania. 22 pa\u017adziernika opublikowane zosta\u0142y poprawki Brotli 1.0.10, 1.1.1 i 1.2.1, w kt\u00f3rych wyra\u017anie poinformowano o usuni\u0119ciu luki oraz naprawiono sedno problemu. Tego samego dnia stworzono prototyp exploita, kt\u00f3ry umo\u017cliwi\u0142 zdalne wykonanie kodu w warunkach laboratoryjnych, przy u\u017cyciu niestandardowych kompilacji (w standardowych kompilacjach wyst\u0105pi\u0142 b\u0142\u0105d krytyczny). P\u00f3\u017aniej firma Imperva zarejestrowa\u0142a atak na standardowe kompilacje Node.js 24.22.0 w \u015brodowisku Linux na systemie ARM64.<\/p>\n
Luka prowadzi do zapisu poza buforem z powodu niew\u0142a\u015bciwego przetwarzania b\u0142\u0119d\u00f3w podczas analizy blok\u00f3w w skompresowanym strumieniu. Funkcja DecodeBlockTypeAndLength() zamiast kodu b\u0142\u0119du zwraca\u0142a tylko warto\u015bci true i false, co uniemo\u017cliwia\u0142o wywo\u0142uj\u0105cemu odr\u00f3\u017cnienie uszkodzenia strumienia od stanu, kt\u00f3ry wymaga\u0142 dodatkowego przekazania danych do funkcji. W przypadku wskazania w strumieniu niepoprawnego typu bloku skompresowanych danych, dekoder traktowa\u0142 to nie jako b\u0142\u0105d, ale jako stan braku danych, kt\u00f3ry wymaga\u0142 dodatkowego odczytu ze strumienia. Jednak\u017ce, poniewa\u017c wydzielony bufor nie by\u0142 przystosowany do dodatkowo odczytanych danych, by\u0142y one zapisywane w obszarze poza jego granicami, w kt\u00f3rym przechowywano wewn\u0119trzny stan dekodera.<\/p>\n
Projekty dotkni\u0119te luk\u0105:<\/p>\n
\n
Referencyjna biblioteka Brotli, problem pojawia si\u0119 od wydania 1.0.3 i zosta\u0142 usuni\u0119ty w aktualizacjach 1.0.10, 1.1.1 oraz 1.2.1. Luka dotyczy aplikacji i bibliotek korzystaj\u0105cych z biblioteki libbrotlidec.\n
Platforma Node.js w j\u0119zyku JavaScript, problem zosta\u0142 rozwi\u0105zany w aktualizacjach 26.12.1, 24.22.1 i 22.23.4. Aplikacje mog\u0105 by\u0107 atakowane, je\u015bli u\u017cywaj\u0105 metody fetch() do \u017c\u0105dania zewn\u0119trznych tre\u015bci, kt\u00f3ra automatycznie dekoduje odpowiedzi HTTP z nag\u0142\u00f3wkiem \u201eContent-Encoding: br\u201d. Wra\u017cliwo\u015b\u0107 objawia si\u0119 r\u00f3wnie\u017c przy bezpo\u015brednim wywo\u0142aniu metod zlib.brotliDecompress*(), createBrotliDecompress() i brotli.decompress() do rozpakowywania zewn\u0119trznych tre\u015bci lub podczas odbierania \u017c\u0105da\u0144 HTTP z analiz\u0105 przez biblioteki Express 5 i body-parser 2.x.\n
Pakiety Pythona brotli i brotlicffi (poprawka zaproponowana w wersji 1.2.1) oraz projekty je u\u017cywaj\u0105ce, w tym popularne biblioteki urllib3, aiohttp, httpx i Scrapy, kt\u00f3re dekoduj\u0105 odpowiedzi z nag\u0142\u00f3wkiem \u201eContent-Encoding: br\u201d podczas korzystania z zewn\u0119trznych zasob\u00f3w internetowych.\n
Serwery HTTP, proxy HTTP, klienci HTTP oraz przegl\u0105darki internetowe obs\u0142uguj\u0105ce kompresj\u0119 Brotli (\u201eAccept-Encoding: br\u201d). W Apache httpd dostarczany jest mod_brotli (domy\u015blnie wy\u0142\u0105czony). Dla nginx dost\u0119pny jest zewn\u0119trzny modu\u0142 ngx_brotli (wersja brotli w zale\u017cno\u015bciach zosta\u0142a podniesiona do aktualnej). W Chrome\/Chromium oraz Firefox problem zosta\u0142 ju\u017c rozwi\u0105zany w jednej z poprzednich aktualizacji. W proxy -serwerze<\/a> Envoy wra\u017cliwo\u015b\u0107 zosta\u0142a usuni\u0119ta w wersjach 1.40.0, 1.39.3, 1.38.6, 1.37.8, 1.36.12.\n