Luka w Brotli umożliwia nieuwierzytelnione zdalne wykonanie kodu w Node.js, Bun, Envoy i curl

OpenAI informuje, że podczas ćwiczeń red teamingowych z użyciem dużych zasobów obliczeniowych wykryło też lukę w Brotli — bibliotece kompresji wbudowanej w Node.js, Bun, Envoy i wiele innych programów. Luka jest śledzona jako CVE-2026-111497.

Co mówi OpenAI:

• Luka umożliwia nieuwierzytelnione zdalne wykonanie kodu za pośrednictwem złośliwych skompresowanych danych. Niezałatany serwer przyjmujący skompresowane dane może zostać przejęty przez złośliwego klienta, a niezałatany klient przyjmujący skompresowane dane (na przykład curl --compressed) — przez złośliwy serwer.
• Przyczyna źródłowa została usunięta w kodzie źródłowym Brotli w lutym, ale nikt nie wiedział, że chodzi o lukę w zabezpieczeniach, i nie wydano nowej wersji. Ponieważ Brotli jest dołączane do innych programów, każdy projekt, który z niego korzysta, musi pobrać aktualizację, a następnie muszą to zrobić jego użytkownicy.
• OpenAI ujawniło lukę zespołowi Brotli i projektom zależnym, takim jak Node.js. Według firmy wydali oni lub wydają aktualizacje zabezpieczeń; Brotli opublikowało nowe wersje i CVE. Szczegóły i środki zaradcze znajdziesz na stronie patchtheplanet.org/brotli.

Co mówi Aikido Security: luka, którą po raz pierwszy zaobserwowano w Node.js i Pythonie, dotyczy wielu bibliotek i aplikacji korzystających z HTTP; Aikido nazywa ją „HTTP2Shell”. Poprawki nie są jeszcze dostępne dla wszystkich podatnych usług; firma zaleca wypatrywać aktualizacji zależności do Brotli 1.2.1. Aikido wymienia dotychczasowe poprawki dla libbrotli, Pythona, C++, Node.js i Envoy (własny komunikat Envoy to GHSA-3wvj-j6qm-62mr) i informuje, że kolejne są w przygotowaniu.