Faille Brotli CVE-2026-111497 : Node.js, Bun et Python à mettre à jour

La faille CVE-2026-111497, divulguée le 21 octobre 2026, est une corruption mémoire dans le décodeur de compression Brotli de Google qui peut mener à une exécution de code dans Node.js, Bun, Envoy, Istio et plusieurs paquets Python, avec une gravité de 9,2 sur 10 (CVSS 4.0) selon Google.

Quelle est cette faille Brotli et qui est concerné ?

Brotli est un format de compression très utilisé sur le web (en-tête `Content-Encoding: br`). Des données compressées forgées font écrire le décodeur au-delà d'un tampon mémoire : au mieux un plantage, au pire une fuite de mémoire ou une exécution de code. Comme chaque logiciel embarque sa propre copie du décodeur, chacun doit être corrigé séparément.

• Bibliothèque C Brotli : versions 1.0.3 à 1.2.0 touchées ; corrigées en 1.0.10, 1.1.1 et 1.2.1.

• Node.js : branches 22, 24 et 26 ; corrigées en 22.23.4, 24.22.1 et 26.12.1. La branche 20 et les précédentes, en fin de vie, ne reçoivent pas de correctif. Le risque passe par `fetch()` sur une réponse `br` ou par un corps de requête `br` dans Express.

• Bun : 1.4.3 et antérieures ; corrigé en 1.4.4.

• Envoy et Istio : touchés seulement si la décompression Brotli est configurée ; versions corrigées publiées dans chaque branche.

• Python : paquets `Brotli` et `brotlicffi` jusqu'à 1.2.1 exclus ; leur seule présence suffit, car requests, urllib3, httpx ou aiohttp décodent alors automatiquement les réponses Brotli.

La faille est-elle exploitée ?

Pas à ce stade. La CISA, l'agence américaine de cybersécurité, indique dans son évaluation du 23 octobre une exploitation « none » et une automatisation « no ». L'équipe Imperva Red Team a toutefois démontré une exécution de code sur un Node.js 24.22.0 non modifié sous Linux ARM64, après plusieurs essais ; l'exploit n'a pas été publié ni testé sur d'autres builds. Red Hat, qui évalue la faille à 8,1 sur 10, ne connaît pas de preuve de concept publique fiable.

La faille a été signalée par l'équipe Codex Security d'OpenAI. Son origine avait été corrigée dans le code de Brotli dès le 27 février, sans que le lien avec une vulnérabilité soit identifié et sans publication de version.

Comment se protéger ?

• Mettre à jour vers la version corrigée, puis redémarrer les services et reconstruire les images de conteneurs : un processus en cours garde l'ancien décodeur.

• À défaut, rejeter les requêtes portant `Content-Encoding: br` et désactiver le décodage Brotli automatique des clients HTTP. Retirer `br` de l'en-tête `Accept-Encoding` ne suffit pas, un serveur pouvant en envoyer quand même.

• Pour Python, vérifier à la main les versions de `Brotli` et `brotlicffi` : les scanners de dépendances peuvent les manquer, la CVE citant le dépôt de Google et non PyPI.

• Pour Node.js, aucun contournement n'est publié : seule la mise à jour règle le problème.

Source

The Hacker News, « Brotli Decoder Flaw Behind Node.js RCE Also Affects Bun, Python and Other Widely Used Software ».