Brotli-kwetsbaarheid maakt uitvoering van code op afstand zonder authenticatie mogelijk in Node.js, Bun, Envoy en curl

OpenAI zegt dat zijn red-teamingoefening met veel rekenkracht ook een kwetsbaarheid aan het licht bracht in Brotli, de compressiebibliotheek die is ingebouwd in Node.js, Bun, Envoy en veel andere programma’s. De kwetsbaarheid wordt bijgehouden als CVE-2026-111497.

Wat OpenAI zegt:

• De kwetsbaarheid maakt uitvoering van code op afstand zonder authenticatie mogelijk via kwaadaardige gecomprimeerde data. Een server waarop de kwetsbaarheid niet is gepatcht en die gecomprimeerde input accepteert, kan worden overgenomen door een kwaadwillende client. Een client waarop de kwetsbaarheid niet is gepatcht en die gecomprimeerde input accepteert (bijvoorbeeld curl --compressed), kan worden overgenomen door een kwaadwillende server.
• De hoofdoorzaak is in februari verholpen in de broncode van Brotli, maar niemand wist dat het om een beveiligingskwetsbaarheid ging en er volgde geen release. Omdat Brotli in andere software is opgenomen, moet elk project dat de bibliotheek bevat de update overnemen, en daarna moeten ook de gebruikers die installeren.
• OpenAI heeft de kwetsbaarheid gemeld bij Brotli en downstreamprojecten zoals Node.js. Het zegt dat die beveiligingsupdates hebben uitgebracht of uitbrengen, en dat Brotli nieuwe releases heeft uitgebracht en de CVE heeft gepubliceerd. Details en maatregelen staan op patchtheplanet.org/brotli.

Wat Aikido Security zegt: de kwetsbaarheid, die voor het eerst werd gezien in Node.js en Python, treft ook veel bibliotheken en applicaties die HTTP gebruiken. Aikido noemt de kwetsbaarheid "HTTP2Shell". Er zijn nog niet voor elke getroffen service oplossingen beschikbaar; het adviseert te letten op updates van afhankelijkheden naar Brotli 1.2.1 wanneer die verschijnen. Aikido vermeldt dat er tot nu toe patches zijn voor libbrotli, Python, C++, Node.js en Envoy (de eigen beveiligingsmelding van Envoy is GHSA-3wvj-j6qm-62mr) en zegt dat er meer volgen.