Brotli açığı Node.js, Bun, Python paketleri ve Envoy'u etkiliyor

Google'ın Brotli decoder'ındaki CVE-2026-111497 kodlu bellek bozulması açığı, Brotli verilerini işleyen Node.js, Bun, Python Brotli ve brotlicffi paketleri ile Envoy proxy'lerini etkiliyor. Özel hazırlanmış sıkıştırılmış veri, buffer sınırlarının dışına yazılarak çökme, bellek sızıntısı veya saldırgan kontrollü kod çalıştırma riskine yol açabiliyor.

Imperva araştırmacıları, açığın yayımlanmamış bir exploit ile Linux ARM64 üzerinde çalışan yamasız Node.js 24.22.0 derlemesinde kod çalıştırabildiğini gösterdi. Aynı sonuç diğer yazılımlar için gösterilmiş değil ve gerçek dünyada istismar bildirimi bulunmuyor. Etkinin ortaya çıkması, uygulamanın saldırgan tarafından kontrol edilen Brotli verisini decode etmesine bağlı; Envoy ve Istio'da ise Brotli decompression etkinleştirilmiş olmalı.

Açığın kökü Brotli'nin C kodunda bulunduğu için, bu kodu kendi kopyasıyla kullanan her yazılımın ayrı ayrı güncellenmesi gerekiyor. Node.js ve Google düzeltmeleri yayımlarken diğer ürünlerde de güncellemeler takip etti. Node.js'in gelen yanıtları veya bazı request body'lerini, Python istemcilerinin ise Brotli paketleri kurulu olduğunda HTTP yanıtlarını otomatik olarak decode edebilmesi, açığı runtime, paket ve proxy katmanlarına taşıyor.

-
Bu içerik GPT-5.6-LUNA modeli ile hazırlandı.