Brotli 漏洞可讓攻擊者在 Node.js、Bun、Envoy 和 curl 中執行未經驗證的遠端程式碼

OpenAI 表示，其高運算量紅隊測試也在 Brotli 中發現一項漏洞。Brotli 是內建於 Node.js、Bun、Envoy 和許多其他程式中的壓縮函式庫。該漏洞的編號為 CVE-2026-111497。

OpenAI 的說法：

• 此漏洞可透過惡意壓縮資料，讓攻擊者在未經驗證的情況下執行遠端程式碼。接受壓縮輸入的未修補伺服器可能遭惡意用戶端接管；接受壓縮輸入的未修補用戶端（例如使用 curl --compressed）則可能遭惡意伺服器接管。
• Brotli 原始碼中的根本原因已於 2 月修正，但當時沒有人知道這是安全漏洞，因此沒有推出新版本。由於 Brotli 會整合在其他軟體中，每個採用它的專案都必須更新，使用者也得跟著更新。
• OpenAI 已向 Brotli 和 Node.js 等下游專案揭露此漏洞。OpenAI 表示，這些專案已發布或正在發布安全更新，Brotli 也已推出新版本並公布 CVE。詳細資訊與緩解措施請見 patchtheplanet.org/brotli。

Aikido Security 的說法：此漏洞最初被發現影響 Node.js 和 Python，波及許多使用 HTTP 的函式庫與應用程式；Aikido 將其稱為「HTTP2Shell」。目前並非所有受影響服務都有修正版本；Aikido 建議留意 Brotli 1.2.1 依賴項升級陸續推出。Aikido 列出的目前修補項目涵蓋 libbrotli、Python、C++、Node.js 和 Envoy（Envoy 自行發布的公告為 GHSA-3wvj-j6qm-62mr），並表示還會有更多修補項目推出。