Уязвимость Brotli позволяет удалённо выполнять код без аутентификации в Node.js, Bun, Envoy и curl

OpenAI сообщает, что в ходе масштабного red-teaming-тестирования с использованием больших вычислительных ресурсов была также обнаружена уязвимость в Brotli — библиотеке сжатия, встроенной в Node.js, Bun, Envoy и многие другие программы. Уязвимости присвоен идентификатор CVE-2026-111497.

Что сообщает OpenAI:

• Уязвимость позволяет удалённо выполнять код без аутентификации с помощью вредоносных сжатых данных. Злоумышленник может захватить не обновлённый сервер, принимающий сжатые данные, или не обновлённый клиент, принимающий сжатые данные (например, curl --compressed), если тот подключится к вредоносному серверу.
• Первопричину исправили в исходном коде Brotli в феврале, но тогда никто не знал, что это уязвимость безопасности, и релиз не вышел. Поскольку Brotli входит в состав других программ, каждое включающее его ПО должно получить обновление, а затем обновиться должны и пользователи этого ПО.
• OpenAI сообщила об уязвимости команде Brotli и проектам, использующим библиотеку, включая Node.js. По словам OpenAI, они выпустили или выпускают обновления безопасности, а Brotli выпустила новые версии и опубликовала CVE. Подробности и способы снижения риска — на patchtheplanet.org/brotli.

Что сообщает Aikido Security: уязвимость, впервые обнаруженная в Node.js и Python, затрагивает многие библиотеки и приложения, использующие HTTP; компания называет её «HTTP2Shell». Исправления пока доступны не для всех затронутых сервисов; Aikido советует следить за обновлениями зависимостей до Brotli 1.2.1. Aikido перечисляет уже выпущенные исправления для libbrotli, Python, C++, Node.js и Envoy (собственное уведомление Envoy — GHSA-3wvj-j6qm-62mr) и сообщает, что ожидаются и другие.