Brotli açığı, Node.js, Bun, Envoy ve curl’de kimlik doğrulaması gerektirmeyen uzaktan kod yürütmeye olanak tanıyor

OpenAI, yüksek işlem gücüyle yürüttüğü red-team çalışmasında Node.js, Bun, Envoy ve diğer birçok programa entegre edilmiş sıkıştırma kütüphanesi Brotli’de de bir güvenlik açığı bulduğunu söylüyor. Açık, CVE-2026-111497 olarak takip ediliyor.

OpenAI’ın açıklaması:

• Açık, kötü amaçlı sıkıştırılmış veriler aracılığıyla kimlik doğrulaması gerektirmeyen uzaktan kod yürütmeye olanak tanıyor. Sıkıştırılmış girdiyi kabul eden ve güncellenmemiş bir sunucu, kötü niyetli bir istemci tarafından ele geçirilebilir. Benzer şekilde, sıkıştırılmış girdiyi kabul eden (örneğin curl --compressed kullanan) güncellenmemiş bir istemci de kötü niyetli bir sunucu tarafından ele geçirilebilir.
• Sorunun temel nedeni Şubat ayında Brotli kaynak kodunda düzeltildi, ancak bunun bir güvenlik açığı olduğu bilinmediğinden yeni bir sürüm yayımlanmadı. Brotli başka yazılımlarla birlikte sunulduğu için, onu içeren her projenin güncellemeyi alması, ardından kullanıcıların da yazılımlarını güncellemesi gerekiyor.
• OpenAI açığı Brotli’ye ve Node.js gibi alt projelere bildirdi. Bu projelerin güvenlik güncellemelerini yayımladığını veya yayımlamakta olduğunu, Brotli’nin ise yeni sürümler çıkarıp CVE’yi yayımladığını söylüyor. Ayrıntılar ve alınabilecek önlemler patchtheplanet.org/brotli adresinde.

Aikido Security’nin açıklaması: İlk olarak Node.js ve Python’ı etkilediği görülen açık, HTTP kullanan birçok kütüphane ve uygulamaya uzanıyor. Aikido bu açığı "HTTP2Shell" olarak adlandırıyor. Etkilenen tüm hizmetler için henüz düzeltme yok; güncellemeler çıktıkça Brotli 1.2.1 bağımlılık yükseltmelerini kontrol etmeyi öneriyor. Aikido şu ana kadar libbrotli, Python, C++, Node.js ve Envoy için yamalar yayımlandığını listeliyor (Envoy’un kendi güvenlik duyurusu GHSA-3wvj-j6qm-62mr) ve daha fazla yamanın yolda olduğunu belirtiyor.