En kritisk sårbarhet i Brotli-avkodaren påverkar Node.JS, Bun, webbläsare, HTTP-klienter och andra projekt.

En sårbarhet (CVE-2026-111497, kodnamn Broccoli2Shell och HTTP2Shell) har identifierats i biblioteket som innehåller referensimplementeringen av Brotli-datakomprimeringsavkodaren. Denna sårbarhet leder till ett buffertspill vid bearbetning av specialskapad komprimerad data. Enligt Google kan denna sårbarhet användas för fjärrkörning av kod vid attacker av projekt som använder den officiella Brotli-avkodarimplementeringen. Berörda projekt inkluderar Node.js, Bun, Envoy, Istio, webbläsare, proxyservrar, HTTP-klienter, HTTP-servrar, arkiverare, proxyservrar, UEFI-firmware, JPEG XL-visare, innehållsavkodningsbibliotek för Python, Ruby, Java, PHP och .NET, och deras tillhörande beroenden.

Problemet upptäcktes av OpenAI i februari i år och blockerades i Brotlis kodbas genom att ogiltiga strömmar ignorerades under avkodning. Den 22 oktober publicerades patchversioner av Brotli 1.0.10, 1.1.1 och 1.2.1, som uttryckligen tillkännagav korrigeringen och åtgärdade det underliggande problemet. Samma dag skapades en prototypattack som möjliggjorde fjärrkörning av kod i laboratorieförhållanden med icke-standardiserade builds (standardversioner kraschade). Imperva upptäckte senare en attack mot standard Node.js 24.22.0-builds. Linux- miljö på ARM64-systemet.

Sårbarheten resulterar i en buffertskrivning utanför gränserna på grund av felaktig felhantering under blockparsning i en komprimerad ström. Funktionen DecodeBlockTypeAndLength() returnerade endast sanna och falska värden istället för en felkod, vilket förhindrade anroparen från att skilja mellan strömkorruption och ett tillstånd som kräver att ytterligare data skickas till funktionen. Om en felaktig komprimerad datablocktyp angavs i strömmen tolkade avkodaren det inte som ett fel, utan som ett tillstånd där data inte fanns tillgängliga som kräver ytterligare läsning från strömmen. Eftersom den allokerade bufferten inte var utformad för att hantera ytterligare data som lästes, skrevs data till ett område utanför bufferten som lagrade avkodarens interna tillstånd.

Berörda projekt:

• Brotli-referensbiblioteket, ett problem som har funnits sedan version 1.0.3 och som åtgärdades i uppdateringarna 1.0.10, 1.1.1 och 1.2.1, påverkar program och bibliotek som använder libbrotlidec-biblioteket.
• JavaScript-plattformen Node.js uppdaterades i uppdateringarna 26.12.1, 24.22.1 och 22.23.4. Program som använder metoden fetch() för att begära innehåll från tredje part, vilket automatiskt avkodar HTTP-svar med rubriken "Content-Encoding: br", kan vara sårbara. Sårbarheten manifesterar sig också när metoderna zlib.brotliDecompress*(), createBrotliDecompress() och brotli.decompress() anropas direkt för att dekomprimera innehåll från tredje part, eller när HTTP-förfrågningar tas emot som parsats via biblioteken Express 5 och body-parser 2.x.
• Python-paketen brotli och brotlicffi (rättelse föreslagen i version 1.2.1) och projekt som använder dem, inklusive de populära biblioteken urllib3, aiohttp, httpx och Scrapy, som avkodar svar med rubriken "Content-Encoding: br" vid åtkomst till externa webbresurser.
• HTTP-servrar, HTTP-proxyservrar, HTTP-klienter och webbläsare som stöder Brotli-komprimering ("Accept-Encoding: br"). Apache httpd levereras med mod_brotli (inaktiverat som standard). En tredjepartsmodul, ngx_brotli, är tillgänglig för nginx (brotli-versionen i beroenden har uppdaterats till den senaste versionen). I Chrome/Chromium och Firefox har problemet redan åtgärdats i en tidigare uppdatering. I proxy-server Envoy-sårbarheten är åtgärdad i versionerna 1.40.0, 1.39.3, 1.38.6, 1.37.8, 1.36.12.
• .NET-körningstid när metoderna BrotliDecoder, BrotliStream och HttpClient används i en applikation. Sårbarheten har ännu inte åtgärdats.
• PHP brotli-tillägget när funktionen brotli_uncompress() används. Åtgärdning pågår.
• Ruby-paketet Brotli var sårbart för attacker med Brotli.inflate-metoden. Sårbarheten har ännu inte åtgärdats.
• DuckDB vid import av komprimerade Parquet-filer. Åtgärdning pågår.
• ClickHouse DBMS. Åtgärdning pågår.
• YDB DBMS. Sårbarheten har ännu inte åtgärdats.
• Apache Arrow vid import av komprimerade Parquet-filer. Åtgärdning pågår.
• libjxl (använder Brotli för komprimering av JPEG XL-metadata).
  Rättelse under förberedelse.
• Arkiveringsprogrammen NanaZip, 7-Zip-zstd och p7zip är sårbara vid uppackning av .br-filer. Sårbarheten kvarstår.
• MuPDF. Sårbarheten har inte åtgärdats.
• UEFI-firmware baserad på EDK II och UEFITool, komprimerad med Brotli. En fix förbereds för EDK II och UEFITool.
• JavaScript-ramverket Bun. Sårbarheten åtgärdades i version 1.4.4.
• Istio, en plattform för hantering av mikrotjänster. Sårbarheten åtgärdades i versionerna 1.29.9, 1.30.6 och 1.31.2.
• curl och libcurl, manifesterar sig sårbarheten när en sårbar version av libbrotlidec finns i beroendena.
• Parsers for the Web Open Font (WOFF) teckensnittsformat, som använder
  Brotli.
• Brotli4j, SumatraPDF, Ghostscript, CatBoost och YTsaurus. Sårbarheten åtgärdades i en uppdatering.

Källa: opennet.ru