{"id":183985,"date":"2026-10-24T23:40:31","date_gmt":"2026-10-24T21:40:31","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/kriticheskaya-uyazvimost-v-dekodirovshhike-brotli-zatragivayushhaya-node-js-bun-brauzery-http-klienty-i-drugie-proekty"},"modified":"2026-10-24T23:40:36","modified_gmt":"2026-10-24T21:40:36","slug":"critical-vulnerability-in-the-brotli-decoder-affecting-node-js-bun-browsers-http-clients-and-other-projects","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/critical-vulnerability-in-the-brotli-decoder-affecting-node-js-bun-browsers-http-clients-and-other-projects","title":{"rendered":"Kritisk s\u00e5rbarhet i avkodaren Brotli, som p\u00e5verkar Node.JS, Bun, webbl\u00e4sare, HTTP-klienter och andra projekt","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
I referensbiblioteket med den referensimplementationen av Brotli komprimeringsdekodern har en s\u00e5rbarhet (CVE-2026-111497, kodnamn Broccoli2Shell och HTTP2Shell) identifierats, som leder till buffert\u00f6verskridning vid hantering av speciellt utformad komprimerad data. Enligt Google kan s\u00e5rbarheten anv\u00e4ndas f\u00f6r fj\u00e4rrexekvering av kod vid attacker mot projekt som anv\u00e4nder den officiella implementationen av Brotli-dekodern. Bland de p\u00e5verkade projekten finns: Node.js, Bun, Envoy, Istio, webbl\u00e4sare, proxytj\u00e4nster, HTTP-klienter, HTTP-servrar, arkiveringsprogram, UEFI-firmware, JPEG XL-visare, dekoderbibliotek f\u00f6r Python, Ruby, Java, PHP och .NET samt relaterade beroenden. <\/p>\n
Problemet uppt\u00e4cktes av OpenAI i februari i \u00e5r och blockerades i kodbasen f\u00f6r Brotli genom att ogiltiga str\u00f6mmar avvisades vid avkodning. Den 22 oktober publicerades korrigerande versioner av Brotli 1.0.10, 1.1.1 och 1.2.1 d\u00e4r det tydligt angavs att s\u00e5rbarheten \u00e5tg\u00e4rdades och k\u00e4rnproblemet l\u00f6stes. Samma dag skapades en prototyp av ett exploit som m\u00f6jliggjorde fj\u00e4rrexekvering av kod i laboratoriemilj\u00f6er via anpassade versioner (vanliga versioner kraschade). Senare dokumenterade Imperva en attack p\u00e5 standardversionerna av Node.js 24.22.0 i Linuxmilj\u00f6 p\u00e5 ARM64-system.<\/p>\n
S\u00e5rbarheten leder till skrivning utanf\u00f6r bufferten p\u00e5 grund av felaktig felhantering under analysen av block i det komprimerade fl\u00f6det. Funktionen DecodeBlockTypeAndLength() returnerade ist\u00e4llet f\u00f6r felkod endast v\u00e4rdena true och false, vilket hindrade anropande kod fr\u00e5n att skilja p\u00e5 en str\u00f6mf\u00f6rst\u00f6ring och ett tillst\u00e5nd som kr\u00e4vde \u00f6verf\u00f6ring av ytterligare data till funktionen. Om en ogiltig blocktyp f\u00f6r komprimerad data angavs i str\u00f6mmen, uppfattade dekodern det inte som ett fel, utan som ett tillst\u00e5nd med otillr\u00e4ckliga data som kr\u00e4vde ytterligare l\u00e4sning fr\u00e5n str\u00f6mmen. Men eftersom den allokerade bufferten inte var avsedd f\u00f6r de ytterligare l\u00e4sta data, skrevs de i omr\u00e5det utanf\u00f6r bufferten d\u00e4r dekoderns interna tillst\u00e5nd lagrades.<\/p>\n
Projekt som \u00e4r p\u00e5verkade av s\u00e5rbarheten:<\/p>\n
\n
Referensbiblioteket brotli, problemet upptr\u00e4der fr\u00e5n och med version 1.0.3 och \u00e5tg\u00e4rdades i uppdateringarna 1.0.10, 1.1.1 och 1.2.1. S\u00e5rbarheten p\u00e5verkar applikationer och bibliotek som anv\u00e4nder biblioteket libbrotlidec.\n
JavaScript-plattformen Node.js, problemet har \u00e5tg\u00e4rdats i uppdateringarna 26.12.1, 24.22.1 och 22.23.4. Applikationer som anv\u00e4nder metoden fetch() f\u00f6r att h\u00e4mta externa inneh\u00e5ll kan attackeras, vilket automatiskt avkodar HTTP-svar med rubriken \"Content-Encoding: br\". S\u00e5rbarheten uppst\u00e5r \u00e4ven vid direktanrop av metoderna zlib.brotliDecompress*(), createBrotliDecompress() och brotli.decompress() f\u00f6r att packa upp externt inneh\u00e5ll eller vid mottagning av HTTP-f\u00f6rfr\u00e5gningar med parsning genom biblioteken Express 5 och body-parser 2.x.\n
Python-packagen brotli och brotlicffi (fix f\u00f6reslagen i version 1.2.1) och de projekt som anv\u00e4nder dem, d\u00e4ribland popul\u00e4ra bibliotek som urllib3, aiohttp, httpx och Scrapy, som avkodar svar med rubriken \"Content-Encoding: br\" n\u00e4r de kontaktar externa webbresurser.\n
HTTP-servrar, HTTP-proxy, HTTP-klienter och webbl\u00e4sare som st\u00f6der Brotli-komprimering (\"Accept-Encoding: br\"). I Apache httpd medf\u00f6ljer mod_brotli (avaktiverat som standard). F\u00f6r nginx finns en tredjepartsmodul ngx_brotli (versionen av brotli i beroenden har uppdaterats till den aktuella). Problemet har redan \u00e5tg\u00e4rdats i en av de tidigare uppdateringarna i Chrome\/Chromium och Firefox. I proxy-servern<\/a> Envoy \u00e5tg\u00e4rdades s\u00e5rbarheten i versionerna 1.40.0, 1.39.3, 1.38.6, 1.37.8, 1.36.12.\n