{"id":183985,"date":"2026-10-24T23:40:31","date_gmt":"2026-10-24T21:40:31","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/kriticheskaya-uyazvimost-v-dekodirovshhike-brotli-zatragivayushhaya-node-js-bun-brauzery-http-klienty-i-drugie-proekty"},"modified":"2026-10-24T23:40:36","modified_gmt":"2026-10-24T21:40:36","slug":"critical-vulnerability-in-the-brotli-decoder-affecting-node-js-bun-browsers-http-clients-and-other-projects","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/critical-vulnerability-in-the-brotli-decoder-affecting-node-js-bun-browsers-http-clients-and-other-projects","title":{"rendered":"Vulnerabilidade cr\u00edtica no decodificador Brotli, afetando Node.JS, Bun, navegadores, clientes HTTP e outros projetos","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Foi identificada uma vulnerabilidade na biblioteca de refer\u00eancia do decodificador do formato de compress\u00e3o de dados Brotli (CVE-2026-111497, nomes de c\u00f3digo Broccoli2Shell e HTTP2Shell), que pode levar a um estouro de buffer ao processar dados comprimidos especificamente formatados. De acordo com o Google, a vulnerabilidade pode ser explorada para execu\u00e7\u00e3o remota de c\u00f3digo em ataques a projetos que utilizam a implementa\u00e7\u00e3o oficial do decodificador Brotli. Entre os projetos afetados est\u00e3o: Node.js, Bun, Envoy, Istio, navegadores da web, servidores proxy, clientes HTTP, servidores HTTP, compactadores, firmwares UEFI, visualizadores JPEG XL, bibliotecas de decodifica\u00e7\u00e3o de conte\u00fado para Python, Ruby, Java, PHP e .NET, e suas depend\u00eancias relacionadas. <\/p>\n
O problema foi descoberto pela OpenAI em fevereiro deste ano e foi mitigado na base de c\u00f3digo do Brotli por meio da rejei\u00e7\u00e3o de fluxos incorretos durante a decodifica\u00e7\u00e3o. Em 22 de outubro, foram lan\u00e7adas as vers\u00f5es corretivas Brotli 1.0.10, 1.1.1 e 1.2.1, em que foi declarado explicitamente que a vulnerabilidade foi corrigida e a ess\u00eancia do problema foi resolvida. No mesmo dia, um prot\u00f3tipo de exploit foi criado, permitindo a execu\u00e7\u00e3o remota de c\u00f3digo em condi\u00e7\u00f5es laboratoriais, ao usar compila\u00e7\u00f5es n\u00e3o padronizadas (em compila\u00e7\u00f5es padr\u00e3o, ocorria falha). Posteriormente, a Imperva registrou um ataque em compila\u00e7\u00f5es padr\u00e3o do Node.js 24.22.0 em um ambiente Linux no sistema ARM64.<\/p>\n
A vulnerabilidade resulta em grava\u00e7\u00e3o fora do buffer devido ao tratamento incorreto de erros no processo de an\u00e1lise de blocos no fluxo comprimido. A fun\u00e7\u00e3o DecodeBlockTypeAndLength() retornava, em vez de um c\u00f3digo de erro, apenas os valores true e false, o que impedia o c\u00f3digo chamador de distinguir uma corrup\u00e7\u00e3o de fluxo de um estado que requer a passagem de dados adicionais para a fun\u00e7\u00e3o. Se um tipo de bloco de dados comprimidos incorreto fosse indicado no fluxo, o decodificador n\u00e3o o percebia como um erro, mas como um estado de falta de dados que exigia leitura adicional do fluxo. No entanto, como o buffer alocado n\u00e3o estava dimensionado para os dados lidos adicionalmente, esses dados eram gravados em uma \u00e1rea al\u00e9m de seus limites, onde o estado interno do decodificador era mantido.<\/p>\n
Projetos vulner\u00e1veis:<\/p>\n
\n
A biblioteca de refer\u00eancia do brotli apresenta o problema a partir da vers\u00e3o 1.0.3 e foi corrigida nas atualiza\u00e7\u00f5es 1.0.10, 1.1.1 e 1.2.1. A vulnerabilidade afeta aplicativos e bibliotecas que utilizam a biblioteca libbrotlidec.\n
A plataforma JavaScript Node.js, com problemas corrigidos nas atualiza\u00e7\u00f5es 26.12.1, 24.22.1 e 22.23.4. Aplica\u00e7\u00f5es que utilizam o m\u00e9todo fetch() para solicitar conte\u00fado externo podem ser atacadas, pois esse m\u00e9todo decodifica automaticamente as respostas HTTP com o cabe\u00e7alho 'Content-Encoding: br'. A vulnerabilidade tamb\u00e9m se manifesta ao chamar diretamente os m\u00e9todos zlib.brotliDecompress*(), createBrotliDecompress() e brotli.decompress() para descompactar conte\u00fado de terceiros ou ao receber requisi\u00e7\u00f5es HTTP com parsing atrav\u00e9s das bibliotecas Express 5 e body-parser 2.x.\n
Os pacotes Python brotli e brotlicffi (a corre\u00e7\u00e3o foi proposta na vers\u00e3o 1.2.1) e os projetos que os utilizam, entre os quais est\u00e3o as populares bibliotecas urllib3, aiohttp, httpx e Scrapy, que decodificam respostas com o cabe\u00e7alho 'Content-Encoding: br' ao acessar recursos web externos.\n
Servidores HTTP, proxies HTTP, clientes HTTP e navegadores web que suportam compress\u00e3o Brotli ('Accept-Encoding: br'). O Apache httpd vem com o mod_brotli (desabilitado por padr\u00e3o). Para o nginx, h\u00e1 um m\u00f3dulo de terceiros ngx_brotli (a vers\u00e3o brotli nas depend\u00eancias foi atualizada para a atual). O problema j\u00e1 foi corrigido no Chrome\/Chromium e no Firefox em uma das atualiza\u00e7\u00f5es anteriores. Em proxy-servidor<\/a> A vulnerabilidade do Envoy foi corrigida nas vers\u00f5es 1.40.0, 1.39.3, 1.38.6, 1.37.8, 1.36.12.\n