Brotli解碼器漏洞 讓Node.js、Bun與Python可遭遠端執行碼
· 資安
Imperva研究人員展示「Node2Shell」概念驗證，透過向應用程式餵入特製的Brotli壓縮資料，在未使用除錯器或自訂建置的官方Node.js 24.22.0 Linux arm64映像上執行攻擊者提供的程式碼。其根源是Google Brotli解碼器中的記憶體毀損漏洞，編號CVE-2026-111497，影響許多解壓Brotli資料的程式，包括Bun、Python的Brotli與brotlicffi套件，以及設定為解壓Brotli的Envoy代理。特製的壓縮輸入可覆寫緩衝區邊界，讓攻擊者得以執行任意程式碼。由於此解碼器內嵌於眾多廣泛使用的執行環境與函式庫，防禦方面臨伺服器、代理與開發工具等多處修補的壓力。
為什麼重要：一款無所不在的壓縮函式庫出現漏洞，影響遠超出單一專案，迫使各組織稽核所有會解壓Brotli資料的執行環境與代理。
重點
- 漏洞編號為CVE-2026-111497。
- 受影響軟體包括Bun、Python Brotli、brotlicffi與Envoy。
- Imperva在未經修改的官方Node.js建置上成功執行碼。