Brotli-Lücke betrifft Node.js, Bun, Python und Proxies: Was Betreiber jetzt prüfen müssen
Eine am 21. Oktober offengelegte Schwachstelle im Brotli-Decoder von Google betrifft unter anderem Node.js, Bun, Python-Pakete sowie Envoy-Proxies. Angreifer können speziell präparierte komprimierte Daten einschleusen; je nach Anwendung reichen die Folgen von Abstürzen und Speicherlecks bis zur Ausführung eigenen Codes. Für Unternehmen ist entscheidend, dass nicht ein einzelnes zentrales Brotli-Update genügt: Die betroffenen Projekte liefern jeweils eigene Kopien des Decoders aus.
Die Lücke trägt die Kennung CVE-2026-111497. Imperva konnte nach Angaben des Berichts Code auf einem ungepatchten Node.js-Build ausführen. Dieser Nachweis gilt bislang nicht automatisch für die anderen genannten Produkte: Für sie wurde eine solche Ausführung nicht demonstriert, und reale Angriffe wurden nicht gemeldet. Die Risikobewertungen unterscheiden sich deshalb je nach Herausgeber, auch wenn Google die Schwachstelle auf CVSS-4.0-Basis als kritisch einstuft.
Betroffen ist eine Installation nur dann, wenn sie Brotli-Daten verarbeitet, die von außen kontrolliert werden können. Bei Node.js und Bun kann das etwa durch Antworten mit Content-Encoding br oder durch Brotli-komprimierte Uploads geschehen. Envoy und Istio sind laut der Analyse nur erreichbar, wenn die Brotli-Dekompression aktiviert wurde. In Python genügt dagegen bereits die Installation des Pakets Brotli oder brotlicffi, weil HTTP-Bibliotheken wie requests, urllib3, httpx und aiohttp Brotli-Antworten automatisch verarbeiten können.
Betreiber sollten auf die jeweils bereitgestellte korrigierte Version aktualisieren, danach den Dienst neu starten und Container-Images neu bauen. Ein Neustart ist erforderlich, weil ein laufender Prozess den alten Decoder weiter verwendet. Da die Projekte ihre eigenen Decoder-Kopien pflegen, müssen Organisationen ihre Node.js-, Bun-, Python- und Proxy-Abhängigkeiten getrennt prüfen. Automatische Abhängigkeitsprüfungen reichen dabei möglicherweise nicht aus: Für die beiden Python-Pakete wurden eigene Hinweise erst am 23. Oktober ergänzt.
Ist ein Update noch nicht möglich, sollten Betreiber die Verarbeitung nicht vertrauenswürdiger Brotli-Daten unterbinden. Als Übergang nennt die Offenlegung das Zurückweisen von Anfragen mit Content-Encoding br vor der Dekodierung, das Abschalten automatischer Brotli-Verarbeitung in HTTP-Clients und das Zurückweisen von Brotli-Antworten. In Python wird außerdem empfohlen, Brotli und brotlicffi zu entfernen, damit Clients auf gzip und deflate zurückfallen. Für Node.js ist laut der vorliegenden Analyse kein separater Workaround veröffentlicht; dort bleibt das Runtime-Update die einzige genannte Lösung.
Das bloße Entfernen von br aus dem Accept-Encoding-Header schützt nicht zuverlässig, weil ein Server Brotli trotzdem senden kann. Auch eine Web Application Firewall ersetzt das Update nicht in jedem Datenpfad: Regeln können Antworten, die eine Funktion von einem anderen Server abruft, unberücksichtigt lassen. Zusätzlich sollten Betreiber manuell prüfen, ob Systempakete und Python-Abhängigkeiten bereits korrigiert sind; die Verfügbarkeit der Fixes unterscheidet sich je nach Distribution und Produkt.