Google Brotli: Speicherüberlauf im Decoder ermöglicht Remote Code Execution

Zusammenfassung

Eine Pufferüberlauf-Schwachstelle in der Brotli-Dekompressionsbibliothek von Google, die viele Anwendungen und Laufzeitumgebungen nutzen, kann durch einen präparierten Brotli-komprimierten Datenstrom ausgelöst werden. Ein nicht authentifizierter Angreifer aus dem Netz kann Decoder-Speicher beschädigen, sensible Speicherinhalte offenlegen, einen Denial of Service verursachen oder möglicherweise beliebigen Code ausführen. Die Ausnutzung in der Praxis ist bestätigt, und CISA hat die Schwachstelle in den Katalog bekannt ausgenutzter Schwachstellen aufgenommen. Der CVSS-v4.0-Basiswert beträgt 9.2 (kritisch).

Betroffen

• Google Brotli 1.0.3 bis vor 1.0.10
• Google Brotli 1.1.0 bis vor 1.1.1
• Google Brotli 1.2.0 bis vor 1.2.1
• Produkte, die einen verwundbaren Brotli-Decoder einbetten oder mitliefern, zum Beispiel Node.js 20.x und frühere Versionen anderer Laufzeitumgebungen

Behoben in

• Google Brotli 1.0.10, 1.1.1 oder 1.2.1 (oder neuer)
• Node.js 22.23.4, 24.22.1 und 26.12.1 (Sicherheitsrelease vom 21. Oktober 2026)
• Andere einbettende Produkte: die jeweilige Herstellerwarnung prüfen

Umgehung

Kein Workaround dokumentiert. Update einspielen.

Ausnutzung

• CISA-Katalog bekannt ausgenutzter Schwachstellen: aufgenommen am 2026-10-27
• CISA SSVC: Ausnutzung aktiv, nicht automatisierbar, technische Auswirkung total
• Der Angriff erfordert nur einen präparierten komprimierten Datenstrom, keine Authentifizierung

Unsere Empfehlung

• Alle Systeme und Anwendungen erfassen, die Brotli nutzen, einschliesslich der in Laufzeitumgebungen, Containern und Paketen mitgelieferten Kopien.
• Google Brotli auf 1.0.10, 1.1.1 oder 1.2.1 aktualisieren und Herstellerupdates für eingebettete Produkte installieren.
• Node.js 20.x, für das wegen Lebensende kein Fix erscheint, durch eine unterstützte Release-Linie ersetzen.
• Aus dem Internet erreichbare Dienste priorisieren, die Content-Encoding: br dekodieren.
• Diese Dienste auf Abstürze oder unerwartetes Verhalten überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (25 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  CaterMaoZi/CVE-2026-111497-POC · dimasma0305/CVE-2026-111497-POC · Sami-AlEsh/nodejs-security-check · hypnguyen1209/CVE-2026-111497 · AdapptOnAzure/cve-2026-111497-mitigation

Quellen der Recherche

• Google Brotli release v1.0.10 (security fix) github.com
• Google Brotli release v1.1.1 github.com
• Google Brotli release v1.2.1 github.com
• GitHub Security Advisory GHSA-9v8h-qqgm-4m35 github.com
• Node.js security releases October 2026 nodejs.org
• Debian security tracker CVE-2026-111497 security-tracker.debian.org
• CISA Known Exploited Vulnerabilities catalog www.cisa.gov

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 13:32.