CVE-2026-111497

Nome do Software Vulnerável e Versões Afetadas Google Brotli versões 1.0.3 through 1.2.0 Node.js versões anteriores a 22.23.4 Node.js versões anteriores a 24.22.1 Node.js versões anteriores a 26.12.1 Python Brotli versões anteriores a 1.2.1 Python brotlicffi versões anteriores a 1.2.1.0 .NET (versões afetadas não especificadas) Bun (versões afetadas não especificadas) Envoy (versões afetadas não especificadas) Istio (versões afetadas não especificadas)

Description Existe um estouro de buffer no decodificador Brotli c/dec/decode.c devido à ausência de verificação do valor de retorno. Um invasor remoto não autenticado pode explorar isso enviando um fluxo compactado Brotli especialmente criado, o que causa uma alternância de bloco inválida que o decodificador interpreta erroneamente como uma solicitação de mais dados de entrada. Isso leva à gravação de dados além dos limites de um buffer interno de oito bytes, corrompendo a memória do estado do decodificador adjacente. Esta falha, apelidada de Node2Shell ou HTTP2Shell, pode resultar em negação de serviço, divulgação de conteúdos sensíveis da memória, escalonamento de privilégios ou execução remota de código. O problema afeta vários clientes e servidores HTTP que descompactam dados Brotli, incluindo aqueles nos ambientes Node.js, Python e .NET. Foram observadas varreduras e tentativas de exploração no mundo real.

Recommendations Atualize o Google Brotli para a versão 1.0.10, 1.1.1 ou 1.2.1. Atualize o Node.js para a versão 22.23.4, 24.22.1 ou 26.12.1. Atualize o Python Brotli para a versão 1.2.1. Atualize o Python brotlicffi para a versão 1.2.1.0. Para o .NET, aplique as atualizações de emergência lançadas em 25 de outubro. Como mitigação temporária para aplicações Python, remova o suporte ao Brotli. Como mitigação temporária, bloqueie as solicitações compactadas em Brotli no nível do servidor proxy ou firewall.