OpenAI нашла критическую уязвимость в Brotli: под угрозой Node.js, Bun и Envoy

Команда Codex Security из OpenAI обнаружила в декодере Brotli от Google ошибку CVE-2026-111497 с оценкой 9,2 из 10. Специально подготовленный сжатый поток вызывает запись за пределы буфера. Так можно повредить память, вызвать утечку данных или выполнить чужой код без авторизации.

Удар идёт в обе стороны: уязвимый сервер может захватить злонамеренный клиент, а клиента вроде "curl --compressed" — сервер. Затронуты версии Brotli 1.0.3–1.2.0 и всё, что их встраивает: Node.js, Bun, Envoy, Istio, Python-пакеты. Исправление лежало в коде с февраля, но без релиза. Атак в реальности пока не зафиксировано.

Нужно обновиться до Brotli 1.2.1, Node.js 22.23.4 / 24.22.1 / 26.12.1 или Bun 1.4.4 и перезапустить сервисы. До патча стоит отключить декодирование Brotli из недоверенных источников.

Источники:
https://patchtheplanet.org/brotli

#AI #OpenAI #Кибербезопасность #Brotli #NodeJS