Brotli-Sicherheitslücke ermöglicht nicht authentifizierte Remote-Code-Ausführung in Node.js, Bun, Envoy und curl

OpenAI zufolge wurde bei einem Red-Team-Test mit hohem Rechenaufwand auch eine Sicherheitslücke in Brotli entdeckt, der in Node.js, Bun, Envoy und vielen anderen Programmen eingebundenen Kompressionsbibliothek. Sie wird als CVE-2026-111497 geführt.

Was OpenAI sagt:

• Die Sicherheitslücke ermöglicht nicht authentifizierte Remote-Code-Ausführung durch manipulierte komprimierte Daten. Ein ungepatchter Server, der komprimierte Eingaben akzeptiert, könnte von einem böswilligen Client übernommen werden. Ebenso könnte ein ungepatchter Client, der komprimierte Eingaben akzeptiert (zum Beispiel curl --compressed), von einem böswilligen Server übernommen werden.
• Die Ursache wurde im Februar im Brotli-Quellcode behoben, doch niemand wusste, dass es sich um eine Sicherheitslücke handelte, und es folgte keine Veröffentlichung. Da Brotli in andere Software eingebunden ist, muss jedes Projekt, das die Bibliothek enthält, das Update übernehmen – und anschließend auch dessen Nutzer.
• OpenAI meldete die Sicherheitslücke an Brotli und an nachgelagerte Projekte wie Node.js. Laut OpenAI haben diese Sicherheitsupdates veröffentlicht oder sind dabei, sie zu veröffentlichen. Brotli hat neue Versionen herausgegeben und die CVE veröffentlicht. Details und Gegenmaßnahmen gibt es unter patchtheplanet.org/brotli.

Was Aikido Security sagt: Die zuerst bei Node.js und Python beobachtete Sicherheitslücke betrifft zahlreiche Bibliotheken und Anwendungen, die HTTP verwenden. Aikido nennt sie „HTTP2Shell“. Für noch nicht alle betroffenen Dienste sind Fixes verfügbar; Aikido empfiehlt, auf Upgrades der Brotli-Abhängigkeit auf Version 1.2.1 zu achten, sobald sie verfügbar sind. Aikido führt bisher veröffentlichte Patches für libbrotli, Python, C++, Node.js und Envoy auf (Envoys eigene Sicherheitsmeldung lautet GHSA-3wvj-j6qm-62mr) und sagt, weitere würden folgen.