🧨 Сьогодні зловив цікаву історію: один «невидимий» компонент від Google раптом зробив уразливими купу нашого звичного стеку.

У декодері стиснення Brotli (CVE-2026-111497) знайшли класичний запис за межі буфера, і дослідники вже домоглися виконання довільного коду на ванільному Node.js 24.22.0 arm64 ⚠️ В гру потрапили Node.js 22/24/26, Bun 1.0.21–1.4.3, Python-пакети brotli/brotlicffi, Envoy/Istio — кожен тягне свою копію декодера, тож апдейти треба ставити окремо для кожного 🧩

Ключовий нюанс: експлуатація можлива лише коли ви розпаковуєте Brotli з недовірених джерел. Це fetch() з Content-Encoding: br, middleware в Express 5, а в Python – ще підступніше: достатньо встановлених brotli/brotlicffi, й requests/urllib3/httpx/aiohttp автоматично починають декодувати Brotli. WAF тут не рятує повністю — шкідливу відповідь від зовнішнього сервера він просто не бачить 🛡

Мені здається, зараз це кейс «спочатку оновити рантайми та бібліотеки, потім уже все інше» 🛠 Якщо апдейт відкласти, я би хоч тимчасово відрубав Brotli-де компресію і прибрав brotli/brotlicffi з Python. А ви вже дивилися, де саме у вашій інфраструктурі живе Brotli, чи це той самий «та працює ж» до першого масового скану?

🤔

🔗 Докладніше:
https://cybersecurefox.com/uk/cve-2026-111497-brotli-decoder-rce-nodejs-bun-python-envoy

#cybersecurity #nodejs #python #devops #infosec #vulnerability

CyberSecureFox