Баг в Brotli нашли в феврале, исправление вышло только сейчас, и бьёт он далеко за пределы Node.js

Декодер, который не отличает «повреждённый поток» от «нужно больше данных»

По разбору Aikido, дефект сидит в библиотеке сжатия Brotli от Google, версии с 1.0.3 по 1.2.0. Функция DecodeBlockTypeAndLength() возвращает булево значение, которое не может отличить повреждённый поток от потока, которому нужно больше данных, а быстрый путь вообще игнорирует возвращаемое значение. Специально созданный поток может исчерпать длину блока и вынудить невозможное переключение блока, после чего декодер продолжает работать с устаревшим состоянием и пишет за границы буфера. Это может утечь данными, уронить процесс или выполнить код.

OpenAI сообщает, что нашла баг в феврале. Исправление тогда попало в исходники Brotli, но ни один релиз его не включил до сих пор.

Кто под ударом

• Node.js через встроенный Brotli (исправлено в 22.23.4, 24.22.1, 26.12.1)
• Python-клиенты, которые автоматически подгружают Brotli при установке: urllib3/requests, httpx, aiohttp, Scrapy (Brotli 1.2.1)
• Bun 1.4.4, линии патчей Envoy и Istio, curl/libcurl и другие продукты, которые его вкладывают
• По сообщениям, Apache и Nginx по умолчанию не затронуты, потому что Brotli по умолчанию не декодируют

Сканеры вроде pip-audit и Dependabot могут пока не помечать проблему. Пересоберите контейнерные образы после обновления. Если патч поставить нельзя, удалите Brotli, отклоняйте Content-Encoding: br и перестаньте объявлять br: одного изменения Accept-Encoding недостаточно.

Ветка: «можно было назвать Exploit Pro Max»

Большая часть обсуждения была о брендинге.

«Название ничего не значит, оно широкое и не описывает суть. Наверное, HTTP-сервер без ничего за ним не затронут, так зачем бить по HTTP?» — netsharc

Поправка пришла одной строкой.

«Затронут, если сервер готов распаковывать тела POST» — cowlevel

TZubiri, бэкенд-разработчик с более чем десятилетним опытом на C и Python, выдвинул циничную логику: HTTP2Shell цепляет всех, кто использует HTTP, а Brotli2Shell не поднимет тех, кому нужно патчить. Другой предложил более честное название.

«Просто назовите это CVE-2026-111497. Точнее, и легче запомнить и обсуждать с начальством» — rererereferred

Если ваш сервис принимает сжатые тела запросов, проверьте Brotli в дереве зависимостей и в базовых образах, прежде чем считать, что ваш edge-прокси вас закрывает.