Node.js: критическая запись за пределы буфера в декодере Brotli

Node.js получила критическую уязвимость в декодере Brotli

Node.js Project 21 октября 2026 года опубликовал бюллетень безопасности для CVE-2026-111497. Уязвимость представляет собой запись за пределы буфера в декодере Brotli, который входит в состав Node.js. Проблема затрагивает ветки релизов Node.js 26.x, 24.x и 22.x. Node.js оценивает уязвимость как High, а Google, как CNA, присвоил ей критический балл CVSSv4 — 9.2. Атакующий, способный предоставить данные Brotli, которые приложение распаковывает с помощью node:zlib, может повредить память процесса. Повреждение памяти может привести к сбою процесса, раскрытию конфиденциальной информации или удаленному выполнению кода (RCE). Уровень риска зависит от того, передает ли приложение сжатые данные, контролируемые атакующим, в уязвимый декодер.

Brotli декодер обрабатывал некорректный блок как временную ошибку

CVE-2026-111497 классифицируется как запись за пределы буфера (CWE-787) и непроверенное значение возврата (CWE-252). Декодер обрабатывал недопустимый переход блока Brotli как временную потребность в дополнительных входных данных, а не как постоянную ошибку формата. Потоковый декодер продолжал добавлять байты ввода во внутренний восьмибайтный буфер. Это позволяло некорректным входным данным записывать информацию за пределы буфера и повреждать память процесса. Уязвимость происходит из Google Brotli, который уязвимые версии Node.js используют как зависимость. Затронуты версии Google Brotli 1.0.3 до 1.0.10, 1.1.0 до 1.1.1 и 1.2.0 до 1.2.1. Node.js исправил свой декодер в обновленных релизах. Уязвимость затрагивает не только Node.js, но и другие продукты, использующие Google Brotli: Bun, пакеты Python Brotli и brotlicffi, .NET, Envoy и Istio, brotli4j и пакеты операционных систем. Организации должны сверяться с бюллетенями соответствующих поставщиков для определения затронутых версий и мер по устранению.

Обновиться до 22.23.4, 24.22.1 или 26.12.1

Поставщик выпустил обновления безопасности для устранения CVE-2026-111497. Организации, использующие уязвимые версии Node.js, должны обновиться срочно. Версии Node.js 22.x до 22.23.4 требуют обновления до 22.23.4 или новее. Версии Node.js 24.x до 24.22.1 требуют обновления до 24.22.1 или новее. Версии Node.js 26.x до 26.12.1 требуют обновления до 26.12.1 или новее. End-of-life версии Node.js также считаются уязвимыми. Организации, использующие такие версии, должны перейти на поддерживаемую и исправленную ветку. Node.js не предоставил обходных путей. Если немедленное обновление невозможно, рекомендуется ограничить или отключить пути приложений, которые распаковывают недоверенные данные Brotli. Для получения самой свежей информации обратитесь к бюллетеню безопасности Node.js. Клиенты Rapid7 Exposure Command, Vulnerability Management и Nexpose могут оценить подверженность CVE-2026-111497 с помощью проверки уязвимостей для Linux и macOS, которая будет доступна в контентном релизе от 26 октября. Проверка для Windows находится в разработке.