В Google Brotli нашли критическую уязвимость с оценкой 9,2 балла. Эксплойт уже готов

Исследователи подтвердили уязвимость CVE-2026-111497 в алгоритме сжатия данных Google Brotli. Ошибка позволяет без авторизации выполнить произвольный код на сервере. Под угрозой облачная инфраструктура и приложения на Node.js, Python, Bun, Envoy и Istio.

Причина в ошибке переполнения буфера. Для атаки достаточно направить вредоносный поток данных приложению, которое автоматически декодирует входящие запросы или ответы сторонних серверов. Злоумышленник переписывает память процесса и запускает собственный код внутри бэкенда.

Разработчики выпустили исправленные версии платформ и обновили саму библиотеку Brotli до 1.2.1. До установки патчей лучше запретить приложениям распаковывать недоверенные данные. Инфраструктуру стоит проверить сканером Brotli Checker, поскольку системные пакеты обновляют не все встроенные в приложения копии кода.

#Google #Brotli #RCE #NodeJS
@SecLabNews