漏洞
Brotli 压缩库漏洞(CVE-2026-111497)影响范围远超 Node.js
据 Help Net Security 报道,谷歌被广泛使用的开源压缩库 Brotli 中存在一个可远程利用的越界写入漏洞(CVE-2026-111497),Node.js 于 2026 年 10 月 21 日将其公开披露。该漏洞影响范围远超 Node.js 生态,攻击者可借助特制的 Brotli 数据破坏进程内存,导致程序崩溃或内存信息泄露。
据 Help Net Security 报道,谷歌被广泛使用的开源压缩库 Brotli 中存在一个漏洞,令大量软件面临风险。
该漏洞编号为 CVE-2026-111497,另有 "Node2Shell"、"Broccoli2Shell" 和 "Brotli2Shell" 等多个别称,属于可远程利用的越界写入(out-of-bounds write)缺陷。Node.js 于 2026 年 10 月 21 日公开披露该漏洞后,引发业界广泛关注。
根据披露内容,攻击者若能向目标应用程序提供特制的 Brotli 压缩数据,并经由 node:zlib 模块解压,即可破坏进程内存。视具体情况,这种内存破坏可能导致程序崩溃,或导致进程内存内容被泄露。
报道指出,由于 Brotli 的应用范围远不止 Node.js——这一压缩算法被广泛用于各类应用程序、库和服务——该漏洞的影响远远超出 Node.js 生态本身。漏洞获得多个别称,也侧面反映出其波及面之广。
现有报道摘录未包含受影响版本、补丁或具体缓解措施等信息。凡涉及解压不可信 Brotli 数据的软件,相关组织应密切关注 Node.js 及 Brotli 项目发布的安全公告,及时获取修复指引。
