Präparierte, komprimierte Daten können den Brotli-Decoder von Google über das Ende eines Puffers hinausschreiben lassen. Das trifft Node.js, Bun, Python-Pakete und jede Software, die den C-Decoder in Version 1.0.3 bis 1.2.0 nutzt.
Brotli-Decoder 1.0.3 bis 1.2.0. Ein Schreibzugriff außerhalb des Puffers kann den Prozess abstürzen lassen, Speicherinhalte preisgeben und möglicherweise fremden Code ausführen. Ein Login braucht der Angreifer dafür nicht.
| Produkt | Betroffen | Fix in | Status |
|---|---|---|---|
| Google Brotli (C-Bibliothek)Distributionen liefern den Fix teils als Backport mit alter Versionsnummer. | 1.0.3 bis 1.2.01.0.10 und 1.1.1 nicht betroffen | 1.0.10, 1.1.1, 1.2.1 | gepatcht |
| Node.js 26Support bis 30.04.2029 | vor 26.12.1 | 26.12.1 | gepatcht |
| Node.js 24Support bis 30.04.2028 | vor 24.22.1 | 24.22.1 | gepatcht |
| Node.js 22Support bis 30.04.2027 | vor 22.23.4 | 22.23.4 | gepatcht |
| Node.js 25, 23, 20, 18 und älterDiese Linien bekommen keine Updates mehr. Wechsle auf eine Linie mit Fix. | alle Versionen | – | kein Fix (EOL) |
| Express 5 / body-parser 2.xVersionsbereiche nur wie von Imperva getestet; Zwischenversionen nicht einzeln geprüft. Quelle: Imperva, 22.10.2026 | Express 5.0.0 bis 5.3.0, body-parser 2.0.0 bis 2.3.0Den Fehler enthält der Brotli-Decoder in Node.js, nicht Express. Das Node-Update schließt ihn. | Node.js 22.23.4, 24.22.1, 26.12.1 | Fix über Node-Update |
| BunMit bun build --compile erstellte Programme neu bauen. | 1.0.21 bis 1.4.3 | 1.4.4 | gepatcht |
| Python Brotli | 1.0.3 bis 1.2.0 | 1.2.1 | gepatcht |
| Python brotlicffi | 1.0.3 bis 1.2.0.x | 1.2.1.0 | gepatcht |
| PHP-Erweiterung brotli (kjdev/php-ext-brotli)Betrifft brotli_uncompress() mit fremden Daten. Mit --with-libbrotli gebaut gilt der Stand der System-Bibliothek. | 0.21.0 und master | – | Fix in Arbeit PR #105 (offen) |
| Produkt | Angezeigt | Exakt |
|---|---|---|
| Google Brotli (C-Bibliothek) | 1.0.3 bis 1.2.0 | 1.0.3 – 1.2.0 (außer 1.0.10 und 1.1.1) |
| Express 5 / body-parser 2.x | Express 5.0.0 bis 5.3.0, body-parser 2.0.0 bis 2.3.0 | Express 5.0.0 – 5.3.0, body-parser 2.0.0 – 2.3.0 |
| Bun | 1.0.21 bis 1.4.3 | >= 1.0.21, < 1.4.4 |
| Python Brotli | 1.0.3 bis 1.2.0 | >= 1.0.3, < 1.2.1 |
| Python brotlicffi | 1.0.3 bis 1.2.0.x | >= 1.0.3, < 1.2.1.0 |
| PHP-Erweiterung brotli (kjdev/php-ext-brotli) | 0.21.0 und master | Release 0.21.0 und master (gebündeltes Brotli 1.2.0) |
| Distribution | Paket | Betroffen | Fix in | Status |
|---|---|---|---|---|
| Debian 12 | brotli | vor 1.0.9-2+deb12u1 | 1.0.9-2+deb12u1 | gepatcht |
| Debian 12 | nodejs | alle Versionen | – | kein Fix gelistet |
| Debian 13 | brotli | vor 1.1.0-2+deb13u1 | 1.1.0-2+deb13u1 | gepatcht |
| Debian 13 | nodejs | alle Versionen | – | kein Fix gelistet |
| Debian 14 | brotli | alle Versionen | – | kein Fix gelistet |
| Debian 14 | nodejs | alle Versionen | – | kein Fix gelistet |
| Ubuntu 16.04 LTS | brotli | alle Versionen | – | kein Fix gelistet |
| Ubuntu 18.04 LTS | brotli | alle Versionen | – | kein Fix gelistet |
| Ubuntu 20.04 LTS | brotli | alle Versionen | – | kein Fix gelistet |
| Ubuntu 22.04 LTS | brotli | alle Versionen | – | kein Fix gelistet |
| Ubuntu 24.04 LTS | brotli | alle Versionen | – | kein Fix gelistet |
| Ubuntu 24.04 LTS | nodejs | alle Versionen | – | kein Fix gelistet |
| Ubuntu 26.04 LTS | brotli | alle Versionen | – | kein Fix gelistet |
| Ubuntu 26.04 LTS | nodejs | alle Versionen | – | kein Fix gelistet |
| Ubuntu 26.10 | brotli | alle Versionen | – | kein Fix gelistet |
| Ubuntu 26.10 | nodejs | alle Versionen | – | kein Fix gelistet |
| Ubuntu Pro:14.04 LTS | nodejs | alle Versionen | – | kein Fix gelistet |
| Ubuntu Pro:16.04 LTS | nodejs | alle Versionen | – | kein Fix gelistet |
| Ubuntu Pro:18.04 LTS | nodejs | alle Versionen | – | kein Fix gelistet |
| Ubuntu Pro:20.04 LTS | nodejs | alle Versionen | – | kein Fix gelistet |
| Ubuntu Pro:22.04 LTS | nodejs | alle Versionen | – | kein Fix gelistet |
| Alpine v3.21 | brotli | vor 1.1.1-r0 | 1.1.1-r0 | gepatcht |
| Alpine v3.23 | brotli | vor 1.2.1-r0 | 1.2.1-r0 | gepatcht |
| Alpine v3.24 | brotli | vor 1.2.1-r0 | 1.2.1-r0 | gepatcht |
„Kein Fix gelistet“ heißt: Der Tracker nennt noch keine Version mit Fix. Die Node.js-Pakete der Distributionen nutzen oft die System-Bibliothek, dann zählt die brotli-Zeile.
Das Update allein reicht nicht. Ein laufender Prozess behält den alten Decoder, bis du ihn neu startest. Container-Images baust du auf einer gepatchten Basis neu und rollst sie aus.
Gefährdet bist du, wenn dein Code oder eine Bibliothek darin Brotli-Daten entpackt, die von außen kommen. Viele HTTP-Clients entpacken Antworten selbstständig, deshalb trifft das mehr Anwendungen als gedacht.
fetch() in Node.js und Bun entpackt Antworten mit Content-Encoding: br automatisch.
In Python tun das urllib3 und damit requests sowie aiohttp, sobald Brotli oder brotlicffi installiert ist. httpx nur mit dem Extra httpx[brotli].
Typische Wege: Webhooks, Link-Vorschauen, Crawler, Import per URL.
Express 5.0.0 bis 5.3.0 mit body-parser 2.0.0 bis 2.3.0 entpackt br-Bodys, zum Beispiel hinter express.json().
Express 4 mit body-parser 1.x lehnt br mit 415 ab. Ein reiner node:http-Server entpackt Bodys nicht selbst.
zlib.brotliDecompress() und createBrotliDecompress() in Node.js, brotli.decompress() in Python, brotli_uncompress() in der PHP-Erweiterung brotli.
Dazu zählen Bibliotheken, die damit Archive, Caches oder Queue-Nachrichten lesen.
Express und body-parser enthalten den Fehler nicht. Sie reichen die Daten nur an den Decoder weiter. Ein Express-Update hilft deshalb nicht, das Node.js-Update schon. Hast du Node.js aus den Paketen deiner Distribution, nutzt es eventuell die System-Bibliothek. Dann kommt der Fix über das Brotli-Paket der Distribution.
Ein Brotli-Datenstrom besteht aus Blöcken, und der Decoder wechselt beim Lesen zwischen Blocktypen. Vor dem Fix meldete die Funktion DecodeBlockTypeAndLength() in c/dec/decode.c nur „ja“ oder „nein“. Ein unmöglicher Blockwechsel sah für den Aufrufer aus wie „brauche mehr Daten“.
Der Decoder hängte darauf weitere Bytes des Angreifers an einen internen Puffer von acht Byte an und schrieb über dessen Ende hinaus. So überschreibt er benachbarten Speicher.
Der Fix (Brotli-Commit 0ed4268) bricht in diesem Fall mit dem Fehler BROTLI_DECODER_ERROR_FORMAT_BLOCK_SWITCH ab. Der CVE-Eintrag nennt CWE-252 und CWE-787. Quellen: Node.js-Hinweis zu CVE-2026-111497, CVE-Eintrag bei OSV.
Prüf überall, wo Code läuft: Produktion, Staging, CI-Runner, Build-Images, Serverless-Funktionen und Laptops. Schick dabei keinen Angriffs-Traffic an Produktivsysteme.
node --version
# betroffen unter 22.23.4, 24.22.1, 26.12.1 und auf Linien ohne Support
node -p "process.versions.brotli"
# wer entpackt Request-Bodys?
npm ls express body-parserbun --version
# betroffen 1.0.21 bis 1.4.3Mit bun build --compile gebaute Programme enthalten die alte Runtime, bis du sie neu baust.
pip show Brotli brotlicffi
# wer zieht Brotli nach?
pipdeptree -r -p Brotli
grep -i brotli poetry.lock uv.lock requirements*.txtpip-audit, Dependabot und Safety haben die PyPI-Pakete anfangs nicht zuverlässig gemeldet. Prüf von Hand.
php -m | grep -i brotli
# Details zur geladenen Erweiterung
php --ri brotliPHP selbst ist von dieser Lücke nicht betroffen, nur die Erweiterung.
dpkg -l | grep -i brotli # Debian, Ubuntu
rpm -qa | grep -i brotli # RHEL, Fedora
apk info -v | grep -i brotli # AlpineDistributionen liefern den Fix teils als Backport mit alter Versionsnummer. Vergleich mit der Tabelle oben oder dem Sicherheitshinweis deiner Distribution.
docker run --rm --entrypoint node <image> --version
docker run --rm --entrypoint pip <image> show Brotli brotlicffiEine Paketliste übersieht leicht die Runtime, die im Image steckt.
Manche Projekte bringen eine eigene Kopie des Decoders mit. Ein Update deiner Distribution ändert daran nichts. Jedes Projekt muss seine Kopie selbst aktualisieren.
| Projekt | Gebündelte Kopie | Stand |
|---|---|---|
| PHP-Erweiterung brotli (kjdev/php-ext-brotli)Betrifft brotli_uncompress() mit fremden Daten. Mit --with-libbrotli gebaut gilt der Stand der System-Bibliothek. | 0.21.0 und master | Fix in Arbeit PR #105 (offen)geprüft 24.10.2026, 22:26 Uhr (MESZ) |
Weitere Projekte mit eigener Kopie, darunter .NET, das Ruby-Gem brotli und DuckDB, führt die Liste gebündelter Brotli-Kopien auf broccoli2shell.com.
# Node.js, z. B. mit nvm
nvm install 24.22.1 # oder 22.23.4 / 26.12.1
# Dockerfile
FROM node:24.22.1-slim
# Bun
bun upgrade# Python
pip install -U "Brotli>=1.2.1" "brotlicffi>=1.2.1.0"
# Debian, Ubuntu
sudo apt update && sudo apt upgradenode:24.22.0 festgelegtes Image bleibt verwundbar, egal wie oft du es neu baust.package-lock.json, poetry.lock, uv.lock oder requirements.txt an. Sonst installiert der nächste Build die alte Version.Node.js nennt keinen Workaround. Die folgenden Schritte verkleinern die Angriffsfläche bis zum Update.
httpx[brotli], sonst kommt das Paket beim nächsten Install zurück.Content-Encoding: br an Proxy, Load Balancer oder WAF ab. Vercel hat dafür am 21.10.2026 Firewall-Regeln geschaltet.express.json({ inflate: false }) schaltet das Entpacken ab. Dann lehnt der Server auch gzip-Bodys ab, teste deine Clients vorher.fetch(url, { decompress: false }) verhindert das Entpacken, aber nur für diesen einen Aufruf.Uhrzeiten in deutscher Zeit.
Ich habe die Lücke weder gefunden noch behoben. Die Arbeit haben andere gemacht:
Notfall-Check Node2Shell / HTTP2Shell
Ich suche jede Node.js-, Bun- und Python-Installation auf deinem Server, auch in Containern und Images. Dann aktualisiere ich Runtime und Pakete, starte die Prozesse neu und sehe die Logs auf Auffälligkeiten durch. Du bekommst ein schriftliches Kurzprotokoll.
Gleicher Umfang und gleiche Preise wie beim PHP-Notfall-Check.
149 € pro Website
299 € pro Server
Server heißt: eigener Server, VPS oder Docker-Host. Ab 3 Systemen 15 % Rabatt je System. Du kennst den Preis, bevor ich anfange. Gemäß § 19 UStG wird keine Umsatzsteuer berechnet.
Oder schreib mir an kontakt@waldemarenns.de, um welche Server es geht.
Läuft deine Website mit PHP? Für PHP2Shell gibt es den PHP-Notfall-Check ab 149 €.