W bibliotece Google wykryto błąd 9,2/10. Korzysta z niej pół internetu

W należącej do Google bibliotece Brotli, wykorzystywanej m.in. przez przeglądarki Firefox, środowisko Node.js i serwery internetowe, odkryto poważną lukę bezpieczeństwa. Atakujący mogą doprowadzić do awarii aplikacji, wycieku danych, a potencjalnie nawet uruchomienia złośliwego kodu.

Brotli to opracowana przez Google biblioteka kompresji danych, z której większość internautów korzysta codziennie, mimo iż pewnie o tym nie wie. Odpowiada między innymi za zmniejszanie rozmiaru stron internetowych, skryptów JavaScript i arkuszy CSS, dzięki czemu witryny ładują się szybciej i zużywają mniej transferu. Jest wykorzystywana również do obsługi skompresowanych danych w aplikacjach i usługach serwerowych.

Rozwiązanie znajdziemy między innymi w Firefoxie, Thunderbirdzie, Node.js, Pythonie czy środowisku .NET. Brotli stosuje się także w narzędziach do przetwarzania danych, takich jak Apache Arrow i ClickHouse, a także w FFmpeg. Nie oznacza to jednak, że każda instalacja tych programów jest podatna na atak, ale warto to wyjaśnić.

Błąd pozwala zaatakować aplikację przez skompresowane dane

Podatność oznaczona jako CVE-2026-111497 została odkryta przez badaczy OpenAI. Problem dotyczy dekodera Brotli i polega na możliwości zapisu danych poza przydzielonym obszarem pamięci.

Wystarczy odpowiednio spreparowany strumień skompresowanych danych, który zostanie przetworzony przez podatną aplikację. W rezultacie może dojść do jej awarii, ujawnienia informacji z pamięci, a w określonych warunkach nawet wykonania kodu atakującego.

Luka otrzymała ocenę 9,2 punktu w skali CVSS, co oznacza krytyczny poziom zagrożenia. Jest znana również pod nazwami Node2Shell i Brotli2Shell.

Nie ma jednak podstaw, by twierdzić, że każda strona internetowa może automatycznie przejąć dowolny komputer. Wykorzystanie podatności wymaga przetworzenia złośliwie przygotowanych danych przez podatny dekoder. Red Hat informuje, że publicznie zademonstrowano awarie aplikacji, ale nie potwierdzono jeszcze niezawodnego exploita umożliwiającego zdalne wykonanie kodu.

Poprawki już są. Teraz czas na aktualizacje

Problem dotyczy podatnych wydań Brotli, a poprawki udostępniono między innymi w wersjach 1.0.10, 1.1.1 i 1.2.1. W przypadku Node.js lukę usunięto w wydaniach 22.23.4, 24.22.1 oraz 26.12.1, opublikowanych 21 października.

Administratorzy i programiści powinni sprawdzić, czy ich aplikacje korzystają z podatnej wersji biblioteki, szczególnie jeśli przetwarzają dane pochodzące z internetu. Samym użytkownikom pozostaje regularne aktualizowanie przeglądarek i pozostałego oprogramowania.

To kolejny przypadek pokazujący, że jeden błąd w niewielkim komponencie może zagrozić ogromnej liczbie aplikacji. Brotli miało przede wszystkim przyspieszać internet. Teraz jego dekoder może przysporzyć administratorom znacznie więcej pracy, niż zaoszczędził użytkownikom czasu.