Exécution de code à distance affectant Brotli

  • Auteur/autrice de la publication :

Origine : bjCSIRT

Numéro : 2026/ALERTE/134

APERÇU :

Une vulnérabilité critique affectant la bibliothèque de compression Brotli et plusieurs produits qui l’intègrent pourrait permettre à un acteur malveillant non authentifié d’exécuter du code arbitraire à distance sur les systèmes vulnérables. 

DESCRIPTION :

Brotli est une bibliothèque de compression de données développée par Google, largement utilisée dans les communications HTTP et intégrée à plusieurs environnements logiciels, notamment Node.js, Bun, Python et des solutions de proxy. 

Cette solution est affectée par une vulnérabilité libellée CVE-2026-111497 résultant d’un dépassement de tampon dans le décodeur Brotli (c/dec/decode.c). L’exploitation de cette vulnérabilité permettrait à un acteur malveillant non authentifié, via un flux compressé Brotli spécialement conçu, de provoquer un dépassement de tampon. Cela pourrait entraîner la corruption de la mémoire d’état du décodeur, la divulgation de contenus mémoire sensibles, un déni de service ou l’exécution de code arbitraire à distance. 

Cette vulnérabilité est classée critique avec un score de sévérité de 9.8 selon le CVSS v3.1. 

IMPACT

  • Exécution de code arbitraire à distance ; 
  • Divulgation d’informations sensibles ; 
  • Déni de service ; 
  • Compromission des systèmes affectés. 

SYSTEMES AFFECTÉS 

  • Google Brotli : versions 1.0.3 à 1.0.9, 1.1.0 et 1.2.0 ; 
  • Node.js : versions 22.x antérieures à 22.23.4, 24.x antérieures à 24.22.1 et 26.x antérieures à 26.12.1 ; 
  • Bun : versions antérieures à 1.4.4 intégrant le décodeur vulnérable ; 
  • Python Brotli : versions 1.0.3 à 1.2.0 ; 
  • Python brotlicffi : versions vulnérables antérieures à 1.2.1.0. 

D’autres produits intégrant une version vulnérable du décodeur Brotli pourraient également être affectés. 

 MESURES À PRENDRE :

  • Mettre à jour Google Brotli vers les versions 1.0.10, 1.1.1 ou 1.2.1, selon la branche utilisée ;
  • Mettre à jour Node.js vers les versions 22.23.4, 24.22.1 ou 26.12.1, selon la branche utilisée ;
  • Mettre à jour Bun vers la version 1.4.4 ou ultérieure ;
  • Mettre à jour Python Brotli vers la version 1.2.1 et brotlicffi vers la version 1.2.1.0 ou ultérieure ;
  • Vérifier les applications et les dépendances intégrant Brotli et appliquer les correctifs de sécurité publiés par leurs éditeurs. 

RÉFÉRENCES :

  • https://nvd.nist.gov/vuln/detail/CVE-2026-111497/
  • https://euvd.enisa.europa.eu/vulnerability/EUVD-2026-108169/
  • https://www.csa.gov.sg/alerts-and-advisories/alerts/al-2026-154/
  • https://nodejs.org/en/blog/vulnerability/october-2026-security-releases/
  • https://github.com/advisories/GHSA-9v8h-qqgm-4m35/
  • https://github.com/envoyproxy/envoy/security/advisories/GHSA-3wvj-j6qm-62mr/
  • https://istio.io/latest/news/security/istio-security-2026-007/
  • https://github.com/cdxgen/cdxgen/security/advisories/GHSA-5266-jm88-3grm/
  • https://lists.debian.org/debian-security-announce/2026/msg00498.html
  • https://www.aikido.dev/blog/python-packages-vulnerable-node2shell-brotli-cve-2026-111497/