La faille Brotli force les grands acteurs du logiciel à publier des correctifs d’urgence

Une vulnérabilité critique dans la bibliothèque de compression Brotli, développée par Google, a contraint les principaux mainteneurs de logiciels à publier des correctifs d’urgence au cours de la dernière semaine d’octobre. Cette faille, identifiée sous la référence CVE-2026-111497 et connue sous plusieurs noms, HTTP2Shell, Node2Shell, Broccoli2Shell -, affecte un composant fondamental de l’infrastructure internet moderne.

Brotli est un algorithme de compression sans perte largement déployé. Il équipe les navigateurs, les serveurs web, les clients HTTP et de nombreux outils de développement. La faille réside dans le décodeur : un flux Brotli malicieusement conçu peut provoquer un débordement de tampon, conduisant à une corruption de mémoire, une divulgation d’informations, un déni de service ou, dans certains scénarios, une exécution de code à distance.

L’impact est transversal. Node.js a publié les versions 22.23.4, 24.22.1 et 26.12.1 le 21 octobre. Google a corrigé la bibliothèque upstream avec les versions 1.0.10, 1.1.1 et 1.2.1. Python a suivi avec brotli 1.2.1 et brotlicffi 1.2.1.0. Microsoft a réagi le 26 octobre en diffusant des mises à jour hors bande (out-of-band) pour .NET 8, 9, 10 et la Release Candidate 3 de .NET 11.

Le géant de Redmond a précisé que la décompression Brotli n’est pas activée par défaut dans une installation standard de .NET ou d’ASP.NET Core. Les applications sont vulnérables seulement si elles ont explicitement opté pour la décompression de requêtes ASP.NET Core, la décompression de réponses HttpClient, ou l’invocation directe des API Brotli de System.IO.Compression. Néanmoins, Microsoft évalue l’exploitabilité à « plus probable » et recommande une mise à jour immédiate.

Aucune exploitation malveillante confirmée n’a été signalée à ce jour, bien que des preuves de concept circulent déjà sur GitHub. Les chercheurs d’Imperva ont démontré que la faille peut aboutir à une exécution de code à distance. Un portail de suivi dédié avertit par ailleurs que la mise à jour de la bibliothèque système Brotli ne suffit pas pour les applications qui embarquent leur propre copie de la bibliothèque, un cas fréquent dans les conteneurs et les binaires autonomes.

Cette cascade de correctifs illustre la difficulté de sécuriser une chaîne d’approvisionnement logicielle où un composant unique, maintenu par un acteur unique (Google), se retrouve dupliqué, intégré et parfois figé dans des milliers de projets. La réactivité des grands mainteneurs a été rapide, mais le délai entre le commit du correctif upstream (février) et la disponibilité des versions stables pour les utilisateurs finaux (octobre) laisse une fenêtre d’exposition considérable.

Sources : BleepingComputer, BleepingComputer, The Hacker News, The Register

Sources : BleepingComputer, BleepingComputer, The Hacker News, The Register