CVE-2026-111497 – Brotli: Speicherfehler beim Entpacken ermöglicht Codeausführung
Eine Lücke im Brotli-Decoder von Google lässt sich mit präparierten komprimierten Daten ausnutzen. Angreifer können damit Speicher überschreiben und unter Umständen Code ausführen. Betroffen sind unter anderem Node.js und die Brotli-Pakete der Linux-Distributionen. Updates sind verfügbar.
Was ist passiert?
Brotli ist ein Kompressionsformat, das Webserver und Browser häufig für die Übertragung nutzen (Content-Encoding: br). Google hat am 21. Oktober eine Lücke im Decoder geschlossen. Erkannte der Decoder einen ungültigen Datenstrom nicht als Fehler, schrieb er Daten über das Ende eines internen Puffers hinaus.
Mit präparierten Daten kann ein Angreifer so den Prozess abstürzen lassen, Speicherinhalte auslesen oder eigenen Code ausführen. Er braucht dafür weder ein Konto noch die Mithilfe eines Benutzers. Google bewertet die Lücke mit CVSS 9.2, Node.js mit High. Angriffe sind bisher nicht bekannt.
Wen betrifft es?
- Node.js 22, 24 und 26 vor 22.23.4, 24.22.1 bzw. 26.12.1. Die Lücke ist erreichbar, sobald eine Anwendung Brotli-Daten von aussen entpackt. Das passiert oft automatisch:
fetch()und axios entpacken Brotli-Antworten von sich aus, Express 5 auch komprimierte Anfragen. Am stärksten gefährdet sind Dienste, die von Benutzern vorgegebene URLs abrufen, etwa für Webhooks oder Link-Vorschauen. - Linux-Server mit dem Paket
brotlibzw.libbrotli. Debian hat bereits korrigierte Pakete veröffentlicht. - Software mit eigener Brotli-Kopie, zum Beispiel das Perl-Modul IO::Compress::Brotli (CVE-2026-115936).
- Node.js 20 und 25 erhalten keinen Fix mehr.
Was ist zu tun?
- Node.js aktualisieren: Installiere 22.23.4, 24.22.1 oder 26.12.1 und starte laufende Prozesse neu. Ältere Versionen migrierst du auf Node.js 22 oder 24.
- Systempakete aktualisieren: Spiele die Brotli-Updates deiner Distribution ein und starte die betroffenen Dienste neu. Container-Images musst du neu bauen.
- Mitgelieferte Kopien prüfen: Bringt eine Anwendung ihr eigenes Brotli mit, aktualisiere sie auf eine Version mit Brotli 1.0.10, 1.1.1 oder 1.2.1.
- Falls du nicht sofort updaten kannst: Entpacke keine Brotli-Daten aus fremden Quellen. Bei HTTP-Clients kannst du Brotli abschalten, indem du im
Accept-Encoding-Header nurgzipanbietest.
Dieses Advisory dient der Information. Für Unterstützung bei der Prüfung deiner Anwendungen und Server kontaktiere uns.
Bereit, deine Angriffsfläche zu kennen?
Erzähl uns kurz von deinem Vorhaben. Wir melden uns mit einem konkreten Vorschlag.
Erstgespräch anfragen