Brotli : une faille de corruption mémoire permettait d'exécuter du code sur Node.js

Une vulnérabilité de corruption mémoire, suivie sous la référence CVE-2026-111497, a été identifiée dans la bibliothèque de compression Brotli de Google. Elle permet des écritures en mémoire en dehors du tampon prévu lors de la décompression d'une entrée malformée, selon dailysecu.com. Les versions correctives de Node.js et de Brotli ont été publiées.

L'exploitation de la faille peut provoquer le plantage d'un programme, divulguer le contenu de la mémoire et, dans certains cas, conduire à une exécution de code à distance. Les chercheurs d'Imperva ont nommé la vulnérabilité Node2Shell et ont démontré une exécution de code sur la version officielle Node.js 24.22.0 pour Linux ARM64.

La démonstration a emprunté deux chemins : une réponse compressée provenant d'un serveur externe et un corps de requête compressé. L'exploitation réussie a nécessité plusieurs tentatives, et l'exécution de code n'a pas été prouvée sur d'autres systèmes d'exploitation ni d'autres produits. Aucune exploitation réelle de la vulnérabilité n'a été signalée dans les documents publiés.

Correctifs et produits concernés

Node.js a publié les versions corrigées 22.23.4, 24.22.1 et 26.12.1 le 21 octobre. Google Brotli a livré des correctifs de sécurité dans les versions 1.0.10, 1.1.1 et 1.2.1.

D'autres produits peuvent être concernés. Envoy et Istio le sont lorsque la décompression Brotli est activée. Côté Python, les bibliothèques HTTP décompressent automatiquement les réponses à l'aide des paquets Brotli ou brotlicffi lorsqu'ils sont installés. Le runtime Bun figure également parmi les produits potentiellement affectés.

Brotli est une technologie de compression utilisée pour réduire la taille des pages web et des données de communication.