La faille du décodeur Brotli expose des millions d’applications à l’exécution de code à distance

Une vulnérabilité critique dans le décodeur Brotli de Google, identifiée sous la référence CVE-2026-111497, affecte un nombre considérable de logiciels qui décompressent des données au format Brotli. Le défaut, corrigé dans Node.js le 21 octobre dernier, réside dans une corruption de mémoire qui permet à un attaquant de déborder un tampon lors du traitement de données compressées spécialement conçues. Au-delà de Node.js, les runtimes Bun, les paquets Python Brotli et brotlicffi, ainsi que les proxys Envoy configurés pour décompresser du Brotli, embarquent chacun leur propre copie du code vulnérable et doivent être mis à jour séparément.

Le format Brotli, développé par Google et standardisé dans la RFC 7932, s’est imposé comme l’algorithme de compression privilégié pour le web moderne. Il offre de meilleurs taux de compression que gzip tout en maintenant une vitesse de décompression comparable. Cette ubiquité explique l’ampleur potentielle de la faille : chaque application qui décompresse du Brotli, qu’il s’agisse d’un serveur web, d’un proxy, d’un outil en ligne de commande ou d’une bibliothèque intégrée, exécute le même code de décodage et partage donc la même vulnérabilité.

Node.js a publié les versions 22.23.4, 24.22.1 et 26.12.1 pour ses trois lignes de support actif. La correction consiste à mettre à jour la copie embarquée du décodeur Brotli vers la version 1.1.0 qui contient le correctif. Les versions 20.x et antérieures, arrivées en fin de vie, ne recevront pas de correctif et doivent être migrées. Du côté de Bun, la version 1.2.0 intègre le correctif. Les mainteneurs des paquets Python brotli et brotlicffi ont également publié des versions corrigées. Pour Envoy, la mise à jour dépend de la version utilisée et de la configuration de décompression Brotli.

Les chercheurs d’Imperva ont démontré l’exécution de code à distance sur une version non corrigée de Node.js. Aucune exploitation dans la nature n’a été signalée à ce jour sur les autres logiciels concernés, mais la disponibilité publique des détails techniques augmente le risque. La particularité de cette faille tient à sa nature transversale : ce n’est pas une vulnérabilité dans une application spécifique, mais dans une dépendance partagée que chaque projet doit mettre à jour de son côté. Les équipes de sécurité doivent donc inventorier l’ensemble de leurs composants utilisant la décompression Brotli, y compris les dépendances transitives, et appliquer les correctifs sans attendre.

Sources : The Hacker News, Numerama

Sources : The Hacker News, Numerama