Brotli-Fehler in Node.js wird aktiv ausgenutzt, möglicherweise Codeausführung (CVE-2026-111497)

Was passiert ist

Unter der Bezeichnung CVE-2026-111497 wurde eine Schwachstelle in Google Brotli gefunden, der Kompressionsbibliothek zum Dekodieren von Brotli-komprimierten Daten. Der Decoder prüft einen Rückgabewert nicht. Dadurch kann ein entfernter, nicht authentifizierter Angreifer einen manipulierten Brotli-komprimierten Datenstrom senden, der angrenzende Zustandsdaten des Decoders im Speicher beschädigt. Je nach Ziel kann dies sensible Speicherinhalte offenlegen, einen Denial-of-Service auslösen oder möglicherweise zur beliebigen Codeausführung führen.

Die Schwachstelle hat einen CVSS-Basiswert von 9.2 und wird als aktiv ausgenutzt geführt. Die CISA hat sie in ihre Liste von Schwachstellen aufgenommen, die gemäß den Anweisungen des Herstellers behoben werden müssen. Das Node.js-Projekt behandelt sie in den Sicherheitsveröffentlichungen vom Oktober 2026, wo sie als Out-of-Bounds-Schreibzugriff im Brotli-Decoder beschrieben wird, der die Ausführung von Code aus der Ferne ermöglicht.

Wer betroffen ist

• Server, auf denen Node.js-Anwendungen laufen, die Brotli-Daten dekomprimieren, zum Beispiel aus HTTP-Request-Bodies, von anderen Servern abgerufenen Antworten oder hochgeladenen Dateien. Node.js bringt eine eigene Kopie von Brotli mit, daher behebt ein Update der Systembibliothek allein Node.js nicht.
• Systeme, auf denen die Brotli-Bibliothek als Systempaket installiert ist. Die Referenzen zu dieser CVE enthalten eine Ankündigung für Debian LTS, daher sind auch Distributionspakete betroffen.
• Andere Software, die einen Brotli-Decoder einbindet. Die Referenzen enthalten eine .NET-Ankündigung, einen Hinweis in der GitHub Advisory Database und eine Veröffentlichung des Go-Ports andybalholm/brotli, was darauf hindeutet, dass weitere Ökosysteme betroffen sind.

Die Quelldaten nennen keine genauen betroffenen oder korrigierten Versionen. Prüfen Sie die Node.js-Sicherheitsveröffentlichung, die Google-Brotli-Releases und den Hinweis Ihrer Distribution für die Versionen, die für Ihre Systeme gelten.

Was Sie jetzt tun sollten

1. Erfassen Sie Ihre Server mit Node.js-Installationen, einschließlich solcher, die über nvm, Container oder Hosting-Panels verwaltet werden, sowie alle Brotli-Systempakete.
2. Aktualisieren Sie Node.js auf die gepatchte Version Ihrer Release-Linie, wie in den Node.js-Sicherheitsveröffentlichungen vom Oktober 2026 aufgeführt. Bauen Sie Container-Images, die Node.js enthalten, neu und stellen Sie sie erneut bereit.
3. Aktualisieren Sie die Brotli-Systempakete über Ihren Paketmanager, zum Beispiel mit apt update && apt upgrade auf Debian und Ubuntu oder dnf upgrade auf RHEL-basierten Systemen, und folgen Sie dabei dem Hinweis Ihrer Distribution.
4. Aktualisieren Sie Anwendungen, die einen eigenen Brotli-Decoder mitbringen, etwa .NET-Anwendungen und Go-Programme mit andybalholm/brotli, gemäß den jeweiligen Herstellerhinweisen unten. Bauen Sie diese anschließend neu und stellen Sie sie erneut bereit.
5. Starten Sie alle betroffenen Dienste neu: Node.js-Prozesse (zum Beispiel über systemd oder Ihren Prozessmanager) sowie alle Dienste, die die System-Brotli-Bibliothek laden, etwa Webserver mit einem Brotli-Modul. Ein laufender Prozess verwendet den alten Code, bis er neu gestartet wird.
6. Da die Schwachstelle aktiv ausgenutzt wird, prüfen Sie die Protokolle von aus dem Internet erreichbaren Node.js-Diensten auf unerwartete Abstürze oder Neustarts, ungewöhnliche Anfragen mit Brotli-kodierten Bodies (Content-Encoding: br) sowie unerwartete Kindprozesse oder ausgehende Verbindungen. Falls Sie Anzeichen einer Kompromittierung finden, isolieren Sie das System und untersuchen Sie es, bevor Sie es wieder in Betrieb nehmen.
7. Falls Sie nicht sofort aktualisieren können, sollten Sie in Erwägung ziehen, Brotli-komprimierte Request-Bodies auf Ihrem Reverse Proxy oder in der Anwendung abzulehnen, bis der Patch eingespielt ist.

So prüfen Sie, ob Sie betroffen sind

• Zeigen Sie die Node.js-Version und die mitgelieferte Brotli-Version an: node --version und node -p process.versions.brotli. Vergleichen Sie diese mit den korrigierten Versionen in der Node.js-Sicherheitsveröffentlichung.
• Prüfen Sie die installierten Systempakete: dpkg -l | grep -i brotli auf Debian und Ubuntu oder rpm -qa | grep -i brotli auf RHEL-basierten Systemen, und vergleichen Sie die Ergebnisse mit dem Hinweis Ihrer Distribution.
• Suchen Sie laufende Prozesse, die nach einem Update noch eine alte, gelöschte Kopie der Bibliothek verwenden: lsof 2>/dev/null | grep -i brotli | grep -i deleted, oder verwenden Sie auf Debian und Ubuntu needrestart.
• Durchsuchen Sie bei Go-Projekten die go.mod-Dateien nach github.com/andybalholm/brotli. Prüfen Sie bei Node.js-Projekten, ob Abhängigkeiten eigenen nativen Brotli-Code mitbringen.

Quellen

• https://nvd.nist.gov/vuln/detail/CVE-2026-111497
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog