Une faille dans Brotli permet l’exécution de code à distance sans authentification dans Node.js, Bun, Envoy et curl

OpenAI affirme que son exercice de red team à forte intensité de calcul a également révélé une vulnérabilité dans Brotli, la bibliothèque de compression intégrée à Node.js, Bun, Envoy et de nombreux autres programmes. Elle est répertoriée sous le numéro CVE-2026-111497.

Ce qu’affirme OpenAI :

• La faille permet l’exécution de code à distance sans authentification au moyen de données compressées malveillantes. Un serveur non corrigé qui accepte des données compressées pourrait être compromis par un client malveillant, et un client non corrigé qui accepte des données compressées (par exemple curl --compressed) pourrait être compromis par un serveur malveillant.
• La cause première a été corrigée dans le code source de Brotli en février, mais personne ne savait qu’il s’agissait d’une vulnérabilité de sécurité et aucune version n’a suivi. Comme Brotli est intégré à d’autres logiciels, chaque projet qui l’inclut doit récupérer la mise à jour, tout comme ses utilisateurs.
• OpenAI a signalé la faille à Brotli et à des projets en aval tels que Node.js. L’entreprise affirme qu’ils ont publié ou sont en train de publier des mises à jour de sécurité, et que Brotli a publié de nouvelles versions ainsi que l’avis CVE. Les détails et les mesures d’atténuation sont disponibles sur patchtheplanet.org/brotli.

Ce qu’affirme Aikido Security : la faille, d’abord observée dans Node.js et Python, touche de nombreuses bibliothèques et applications qui utilisent HTTP, et l’entreprise l’appelle « HTTP2Shell ». Des correctifs ne sont pas encore disponibles pour tous les services concernés ; elle recommande de surveiller les mises à niveau des dépendances vers Brotli 1.2.1 à mesure qu’elles paraissent. Aikido répertorie les correctifs publiés jusqu’ici pour libbrotli, Python, C++, Node.js et Envoy (l’avis d’Envoy est GHSA-3wvj-j6qm-62mr) et indique que d’autres sont à venir.