【已复现】漏洞通告 | Node.js Brotli 解码器远程代码执行漏洞(CVE-2026-111497)

安全实验室
安全实验室

中成信息

2026年10月27日 10:38
福建

去阅读

1

漏洞描述

Brotli 是一种通用数据压缩格式。受影响版本中，当解码器处理到数据流自身结构不允许的非法块切换命令时，未正确传播校验失败，误判为“仍需更多输入”并携带未初始化的块类型继续解码，越界索引被用于访问 Huffman 表与上下文映射，向环形缓冲区追加字节时造成堆内存越界写入，可导致进程内存破坏。

利用该漏洞要求应用实际将攻击者可控的 Brotli 数据交由解码器处理（如 fetch() 自动解压 br 响应、Express 5 / body-parser 2.x 在鉴权前解压 br 请求体）。远程代码执行还受运行时构建形态、CPU 架构、内存布局及 ASLR 等防护机制影响。

2

影响范围

1.1.0 <= Google Brotli < 1.1.1

1.2.0 <= Google Brotli < 1.2.1

Node.js 22.x < 22.23.4

Node.js 24.x < 24.22.1

Node.js 26.x < 26.12.1

1.0.3 <= PyPI brotli < 1.2.1

1.0.3 <= PyPI brotlicffi< 1.2.1.0  |  Node.js 20.x、21.x、23.x、25.x 已停止维护，同样受该缺陷影响但不再提供修复

3

漏洞详情

4

漏洞复现

中成信息安全实验室已复现Node.js Brotli 解码器远程代码执行漏洞，验证如下。

5

修复建议

官方已发布安全补丁，请及时更新至最新版本：

Node.js 22.x >= 22.23.4

Node.js 24.x >= 24.22.1

Node.js 26.x >= 26.12.1

Google Brotli >= 1.0.10

Google Brotli >= 1.1.1

Google Brotli >= 1.2.1

20.x、21.x、23.x、25.x 等已停止维护，不再提供修复，建议迁移到受支持版本

下载地址：

https://nodejs.org/en/download

https://github.com/google/brotli/releases

https://pypi.org/project/brotli/https://pypi.org/project/brotlicffi/

临时缓解措施

1.在边缘或应用层拒绝不需要的Content-Encoding: br请求体；

2.对不可信外部请求使用Accept-Encoding:identity，并关闭客户端自动解压；

3.使用WAF/网关规则拦截异常大的br请求体、异常Brotli流和已知攻击特征；

4.限制请求体大小、解压输出大小、处理超时和进程内存；监控进程异常退出、SIGSEGV/SIGABRT、解码器错误和连接重置。

关于我们

漳州中成信息科技有限公司是一家专注于网络安全实战防护的创新型服务提供商。我们深刻理解网络安全的核心在于攻防对抗的持续较量，并以此独特视角为基石，致力于为客户构建动态、主动、智能化的纵深防御体系。区别于传统的被动防御，我们坚信“未知攻，焉知防”。公司汇聚了顶尖的渗透测试专家（红队）、应急处置精英（蓝队）及经验丰富的安全服务工程师，形成了一支具备完整攻防对抗能力的专业团队。我们的渗透测试团队模拟真实攻击者的思维与手段，深入挖掘系统、应用及网络中的深层次漏洞与风险点；应急处置团队则能在安全事件发生时快速响应、精准定位、有效遏制损失并溯源根因；安服工程师团队则致力于将攻防对抗中获得的宝贵经验转化为常态化的安全策略、加固措施与运营流程。

点击名片

关注我们

扫描官网二维码

了解更多