{"id":183985,"date":"2026-10-24T23:40:31","date_gmt":"2026-10-24T21:40:31","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/kriticheskaya-uyazvimost-v-dekodirovshhike-brotli-zatragivayushhaya-node-js-bun-brauzery-http-klienty-i-drugie-proekty"},"modified":"2026-10-24T23:40:36","modified_gmt":"2026-10-24T21:40:36","slug":"critical-vulnerability-in-the-brotli-decoder-affecting-node-js-bun-browsers-http-clients-and-other-projects","status":"publish","type":"post","link":"https:\/\/prohoster.info\/ro\/blog\/news\/critical-vulnerability-in-the-brotli-decoder-affecting-node-js-bun-browsers-http-clients-and-other-projects","title":{"rendered":"O vulnerabilitate critic\u0103 \u00een decodorul Brotli, care afecteaz\u0103 Node.JS, Bun, browserele, clien\u021bii HTTP \u0219i alte proiecte","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
\u00cen biblioteca cu implementarea de referin\u021b\u0103 a decodorului formatului de comprimare a datelor Brotli a fost identificat\u0103 o vulnerabilitate (CVE-2026-111497, nume de cod Broccoli2Shell \u0219i HTTP2Shell), care duce la un overflow de buffer \u00een timpul proces\u0103rii datelor comprimate special formate. Conform celor de la Google, vulnerabilitatea poate fi exploatat\u0103 pentru a permite execu\u021bia de cod de la distan\u021b\u0103 \u00een atacurile asupra proiectelor care utilizeaz\u0103 implementarea oficial\u0103 a decodorului Brotli. Printre proiectele afectate de aceast\u0103 vulnerabilitate se num\u0103r\u0103: Node.js, Bun, Envoy, Istio, browsere web, servere proxy, clien\u021bi HTTP, servere HTTP, arhivatoare, servere proxy, firmware UEFI, vizualizatoare JPEG XL, biblioteci de decodare a con\u021binutului pentru Python, Ruby, Java, PHP \u0219i .NET \u0219i dependen\u021bele acestora. <\/p>\n
Problema a fost identificat\u0103 de compania OpenAI \u00een februarie a acestui an \u0219i a fost blocat\u0103 \u00een baza de cod Brotli prin eliminarea fluxurilor incorecte \u00een timpul decod\u0103rii. Pe 22 octombrie, au fost publicate versiunile corective Brotli 1.0.10, 1.1.1 \u0219i 1.2.1 \u00een care a fost declarat explicit c\u0103 vulnerabilitatea a fost remediat\u0103 \u0219i esen\u021ba problemei a fost corectat\u0103. \u00cen aceea\u0219i zi, a fost creat un prototip de exploit care a permis execu\u021bia de cod de la distan\u021b\u0103 \u00een condi\u021bii de laborator, folosind build-uri non-standard (\u00een build-urile standard a ap\u0103rut o \u00eentrerupere brusc\u0103). Ulterior, compania Imperva a \u00eenregistrat un atac asupra build-urilor standard Node.js 24.22.0 \u00eentr-un mediu Linux pe sistemul ARM64.<\/p>\n
Vulnerabilitatea duce la o scriere dincolo de buffer din cauza unei manipul\u0103ri incorecte a erorilor \u00een procesul de analiz\u0103 a blocurilor din fluxul comprimat. Func\u021bia DecodeBlockTypeAndLength() returna, \u00een loc de un cod de eroare, doar valorile true \u0219i false, ceea ce nu permitea codului apelant s\u0103 diferen\u021bieze \u00eentre o corup\u021bie a fluxului \u0219i o stare care necesita transmiterea de date suplimentare c\u0103tre func\u021bie. \u00cen cazul specific\u0103rii unui tip de bloc de date comprimate incorecte \u00een flux, decodorul \u00eel percepea nu ca pe o eroare, ci ca pe o stare de lips\u0103 de date, care necesita citire suplimentar\u0103 din flux. Dar, deoarece bufferul alocat nu era calculat pentru datele citite suplimentar, acestea erau scrise \u00een zona dincolo de limita sa, \u00een care era starea intern\u0103 a decodorului.<\/p>\n
Proiectele afectate de vulnerabilitate:<\/p>\n
\n
Biblioteca de referin\u021b\u0103 Brotli, problema se manifest\u0103 \u00eencep\u00e2nd cu versiunea 1.0.3 \u0219i a fost remediat\u0103 \u00een versiunile 1.0.10, 1.1.1 \u0219i 1.2.1. Vulnerabilitatea afecteaz\u0103 aplica\u021biile \u0219i bibliotecile care utilizeaz\u0103 biblioteca libbrotlidec.\n
Platforma JavaScript Node.js, problema a fost rezolvat\u0103 \u00een versiunile 26.12.1, 24.22.1 \u0219i 22.23.4. Aplica\u021biile care utilizeaz\u0103 metoda fetch() pentru a solicita con\u021binut extern pot fi atacate, deoarece aceasta decodeaz\u0103 automat r\u0103spunsurile HTTP cu antetul \u201eContent-Encoding: br\u201d. Vulnerabilitatea se manifest\u0103 \u0219i la apelul direct al metodelor zlib.brotliDecompress*(), createBrotliDecompress() \u0219i brotli.decompress() pentru decompresarea con\u021binutului extern sau la primirea cererilor HTTP cu analiza prin bibliotecile Express 5 \u0219i body-parser 2.x.\n
Pachetele Python brotli \u0219i brotlicffi (corectura a fost propus\u0103 \u00een versiunea 1.2.1) \u0219i proiectele care le utilizeaz\u0103, printre care se num\u0103r\u0103 biblioteci populare precum urllib3, aiohttp, httpx \u0219i Scrapy, care decodeaz\u0103 r\u0103spunsurile cu antetul \u201eContent-Encoding: br\u201d atunci c\u00e2nd acceseaz\u0103 resurse web externe.\n
Serverele HTTP, proxy-urile HTTP, clien\u021bii HTTP \u0219i browserele web care suport\u0103 compresia Brotli (\u201eAccept-Encoding: br\u201d). \u00cen Apache httpd, mod_brotli este inclus (dezactivat implicit). Pentru nginx, este disponibil un modul ter\u021b ngx_brotli (versiunea brotli din dependen\u021be a fost actualizat\u0103 la cea actual\u0103). \u00cen Chrome\/Chromium \u0219i Firefox, problema a fost deja rezolvat\u0103 \u00eentr-una dintre actualiz\u0103rile anterioare. \u00cen proxy-server<\/a> Envoy vulnerabilitatea a fost remediat\u0103 \u00een versiunile 1.40.0, 1.39.3, 1.38.6, 1.37.8, 1.36.12.\n