Kritisk sårbarhet i avkodaren Brotli, som påverkar Node.JS, Bun, webbläsare, HTTP-klienter och andra projekt

I referensbiblioteket med den referensimplementationen av Brotli komprimeringsdekodern har en sårbarhet (CVE-2026-111497, kodnamn Broccoli2Shell och HTTP2Shell) identifierats, som leder till buffertöverskridning vid hantering av speciellt utformad komprimerad data. Enligt Google kan sårbarheten användas för fjärrexekvering av kod vid attacker mot projekt som använder den officiella implementationen av Brotli-dekodern. Bland de påverkade projekten finns: Node.js, Bun, Envoy, Istio, webbläsare, proxytjänster, HTTP-klienter, HTTP-servrar, arkiveringsprogram, UEFI-firmware, JPEG XL-visare, dekoderbibliotek för Python, Ruby, Java, PHP och .NET samt relaterade beroenden.

Problemet upptäcktes av OpenAI i februari i år och blockerades i kodbasen för Brotli genom att ogiltiga strömmar avvisades vid avkodning. Den 22 oktober publicerades korrigerande versioner av Brotli 1.0.10, 1.1.1 och 1.2.1 där det tydligt angavs att sårbarheten åtgärdades och kärnproblemet löstes. Samma dag skapades en prototyp av ett exploit som möjliggjorde fjärrexekvering av kod i laboratoriemiljöer via anpassade versioner (vanliga versioner kraschade). Senare dokumenterade Imperva en attack på standardversionerna av Node.js 24.22.0 i Linuxmiljö på ARM64-system.

Sårbarheten leder till skrivning utanför bufferten på grund av felaktig felhantering under analysen av block i det komprimerade flödet. Funktionen DecodeBlockTypeAndLength() returnerade istället för felkod endast värdena true och false, vilket hindrade anropande kod från att skilja på en strömförstöring och ett tillstånd som krävde överföring av ytterligare data till funktionen. Om en ogiltig blocktyp för komprimerad data angavs i strömmen, uppfattade dekodern det inte som ett fel, utan som ett tillstånd med otillräckliga data som krävde ytterligare läsning från strömmen. Men eftersom den allokerade bufferten inte var avsedd för de ytterligare lästa data, skrevs de i området utanför bufferten där dekoderns interna tillstånd lagrades.

Projekt som är påverkade av sårbarheten:

• Referensbiblioteket brotli, problemet uppträder från och med version 1.0.3 och åtgärdades i uppdateringarna 1.0.10, 1.1.1 och 1.2.1. Sårbarheten påverkar applikationer och bibliotek som använder biblioteket libbrotlidec.
• JavaScript-plattformen Node.js, problemet åtgärdades i uppdateringarna 26.12.1, 24.22.1 och 22.23.4. Applikationer som använder metoden fetch() för att begära extern innehåll kan attackeras, eftersom den automatiskt avkodar HTTP-svar med rubriken "Content-Encoding: br". Sårbarheten uppträder också vid direkt anrop av metoderna zlib.brotliDecompress*(), createBrotliDecompress() och brotli.decompress() för att packa upp extern innehåll eller vid mottagande av HTTP-förfrågningar som analyseras via biblioteken Express 5 och body-parser 2.x.
• Python-paketet brotli och brotlicffi (fix föreslagen i version 1.2.1) och projekt som använder dem, inklusive populära bibliotek som urllib3, aiohttp, httpx och Scrapy, som avkodar svar med rubriken "Content-Encoding: br" vid anrop till externa webbresurser.
• HTTP-servrar, HTTP-proxy, HTTP-klienter och webbläsare som stöder Brotli-komprimering ("Accept-Encoding: br"). I Apache httpd levereras mod_brotli (avstängd som standard). För nginx finns en tredjepartsmodul ngx_brotli (versionen av brotli i beroenden har höjts till den aktuella). I Chrome/Chromium och Firefox har problemet redan åtgärdats i en av de tidigare uppdateringarna. I proxyn -servern Envoy åtgärdades sårbarheten i versionerna 1.40.0, 1.39.3, 1.38.6, 1.37.8, 1.36.12.
• .NET-runtime när den används i applikationen med metoderna BrotliDecoder, BrotliStream och HttpClient. Sårbarheten har ännu inte åtgärdats.
• PHP-tillägget brotli vid användning av funktionen brotli_uncompress(). En fix är under beredning.
• Ruby-paketet brotli vid användning av metoden Brotli.inflate. Sårbarheten har ännu inte åtgärdats.
• Databasen DuckDB vid import av komprimerade Parquet-filer. En fix är under beredning.
• Databasen ClickHouse. En fix är under beredning.
• Databasen YDB. Sårbarheten har ännu inte åtgärdats.
• Apache Arrow vid import av komprimerade Parquet-filer. En fix är under beredning.
• libjxl (när metadata komprimeras i JPEG XL används Brotli).
  En fix är under beredning.
• Arkiverare NanaZip, 7-Zip-zstd och p7zip vid uppackning av br-filer. Sårbarheten har inte åtgärdats.
• MuPDF. Sårbarheten har inte åtgärdats.
• UEFI-firmware baserad på EDK II och UEFITool, komprimerad med Brotli. En fix är under beredning – EDK II och UEFITool.
• JavaScript-plattformen Bun. Sårbarheten åtgärdades i version 1.4.4.
• Plattformen för hantering av mikrotjänster Istio. Sårbarheten åtgärdades i versionerna 1.29.9, 1.30.6 och 1.31.2.
• curl och libcurl, sårbarheten uppträder vid förekomsten av en sårbar version av libbrotlidec i beroenden.
• Parser för fontformatet Web Open Font (WOFF), där Brotli används.
  Brotli.
• Brotli4j, SumatraPDF, Ghostscript, CatBoost och YTsaurus. Sårbarheten har åtgärdats i en av uppdateringarna.

Källa: opennet.ru