Переполнение буфера в декодере Brotli, библиотеке сжатия от Google, позволяет записать данные за границу буфера, то есть области памяти, отведённой под результат распаковки. Декодер распаковывает сжатые данные, и ошибка срабатывает на специально собранном потоке. Удалённый злоумышленник без учётных данных получает отказ в обслуживании, утечку содержимого памяти процесса или, возможно, выполнение своего кода с правами процесса. Затронуты библиотеки веток 1.0, 1.1 и 1.2, а вместе с ними Node.js, среда выполнения JavaScript, которая использует Brotli.
Две причины ошибки в декодере Brotli CVE-2026-111497
Ошибка складывается из двух причин. Первая это запись за границами буфера: декодер неверно определяет размер области памяти и пишет данные в соседнюю. Вторая это непроверенное возвращаемое значение: итог служебной функции остаётся без обработки, и декодер продолжает работу в некорректном состоянии.
Что именно окажется рядом с повреждённым участком памяти, зависит от вызывающего приложения. Отсюда разброс последствий: отказ в обслуживании, раскрытие чувствительных данных, возможное выполнение кода. Google оценивает уязвимость в 9,2 из 10 по CVSS 4.0, четвёртой версии системы оценки, это уровень Critical.
Атака идёт по сети, учётные данные не нужны, участие пользователя не требуется. Условие одно: процесс должен распаковать поток, который подготовил злоумышленник. Без обработки такого потока ошибка не срабатывает, и в CVSS 4.0 это описано как наличие требований к атаке.
Исправление вышло. Google выпускает версии 1.0.10, 1.1.1 и 1.2.1, каждая закрывает ошибку в своей ветке. Обновлять нужно любую библиотеку или исполняемый файл с Brotli в диапазоне от 1.0.3 до 1.2.0 включительно. Проект Node.js в октябре 2026 года выпустил обновления безопасности с тем же исправлением.
Пакеты в Debian
В Debian исправленных пакетов пока нет. Трекер безопасности Debian перечисляет brotli и nodejs как уязвимые в стабильных и нестабильных ветках и оставляет пометку об отсутствии исправления для нестабильной ветки. В Debian nodejs использует системную библиотеку Brotli, а не собственную копию. Номер версии, в которой появится исправление, Debian не приводит, его нужно отслеживать на странице уведомления.
Собственную оценку для nodejs в Debian bookworm приводит NCSC: 3,9.
Сведений об эксплуатации в реальных атаках нет ни в одном из приведённых источников. Публикация записи CVE 22 октября 2026 года означает открытость технических деталей, а не использование ошибки.
Администраторам нужно обновить Brotli до 1.0.10, 1.1.1 или 1.2.1 в зависимости от используемой ветки. Стоит проверить, не несёт ли приложение собственную копию библиотеки: такие сборки обновляются отдельно от системы. В Debian остаётся дождаться обновления пакетов brotli и nodejs и следить за страницей уведомления. Обходных мер, кроме обновления, вендор не называет. Библиотека используется не только в Node.js, поэтому проверка нужна для любой сборки со встроенным Brotli.
Ссылки
- https://www.cve.org/CVERecord?id=CVE-2026-111497
- https://security-tracker.debian.org/tracker/CVE-2026-111497
