Lỗ hổngNghiêm trọng

Node.js sửa lỗi Brotli mở cửa cho thực thi mã từ xa

Node.js đã sửa lỗi nghiêm trọng trong decodificador Brotli, có thể dẫn đến thực thi mã từ xa khi xử lý dữ liệu bị kiểm soát. Lỗi này xuất hiện trong Node.js 22.x, 24.x và 26.x. CVE-2026-111497 được gán cho vấn đề này.

BNUna al Día · Hispasec (Tây Ban Nha)Biên tập & Phân tích

lúc 20:37 Thứ Năm, 22 tháng 10, 20260 lượt xem

Node.js sửa lỗi Brotli mở cửa cho thực thi mã từ xa

Nội dung chính

Node.js đã phát hành bản vá cho các phiên bản 22.23.4, 24.22.1 và 26.12.1.
Lỗi này có thể dẫn đến thực thi mã từ xa khi decodificador Brotli xử lý dữ liệu bị kiểm soát.
Vulnerability CVE-2026-111497 được gán cho vấn đề này.
Node.js 18.x, 20.x, 23.x và 25.x không nhận được bản vá và cần được nâng cấp.
Nếu Node.js được xây dựng với Brotli hệ thống chưa được sửa, cần kiểm tra fix 0ed4268.

Chi tiết sự việc

Lỗi này nằm trong nhóm corrupción de memoria, khiến quá trình viết ra ngoài phạm vi cho phép, tạo điều kiện cho thực thi mã từ xa nếu điều kiện thuận lợi cho kẻ tấn công.

Node.js đã phát hành bản vá cho các phiên bản 22.23.4, 24.22.1 và 26.12.1. Người dùng cần cập nhật ngay lập tức.

Node.js 18.x, 20.x, 23.x và 25.x không nhận được bản vá và cần được nâng cấp.

Nếu Node.js được xây dựng với Brotli hệ thống chưa được sửa, cần kiểm tra fix 0ed4268.

Lỗi này cũng ảnh hưởng đến các dịch vụ chấp nhận hoặc xử lý nội dung Brotli, đặc biệt là khi xử lý dữ liệu kiểm soát bởi bên thứ ba.

Nhóm tấn công có thể khai thác lỗ hổng này khi decodificador Brotli xử lý nội dung bị kiểm soát.

Node.js đã phát hành bản vá cho các phiên bản 22.23.4, 24.22.1 và 26.12.1. Người dùng cần cập nhật ngay lập tức.

Nếu Node.js được xây dựng với Brotli hệ thống chưa được sửa, cần kiểm tra fix 0ed4268.

Khuyến nghị

Kiểm tra và cập nhật Node.js ngay lập tức.
Kiểm tra fix 0ed4268 nếu Node.js được xây dựng với Brotli hệ thống chưa được sửa.
Kiểm tra và cập nhật các dịch vụ chấp nhận hoặc xử lý nội dung Brotli.

Lưu ý: Bài viết được biên dịch và tóm tắt tự động bằng AI từ nguồn Una al Día · Hispasec (Tây Ban Nha). Vui lòng đối chiếu bài gốc trước khi sử dụng.

🛡️ Thông tin lỗ hổng liên quan (1)

Tổng hợp tự động từ MITRE CVE · NIST NVD · FIRST EPSS · CISA KEV · dịch bằng AI

CVE-2026-111497CVSS 9.2 · CRITICALEPSS 82.64% · top 1%⚠ ĐANG BỊ KHAI THÁC (CISA KEV)CWE-252

Google Brotli — Lỗ hổng giá trị trả về không kiểm tra của bộ giải mã Brotli của Google. Đưa vào KEV ngày 2026-10-27, hạn khắc phục với cơ quan liên bang Mỹ: 2026-11-10. Yêu cầu: Áp dụng các biện pháp khắc phục theo hướng dẫn nhà sản xuất, đảm bảo tuân thủ hướng dẫn CISA BOD 26-04 Prioritizing Security Updates Based on Risk (xem URL trong Ghi chú) và hướng dẫn CISA “Forensics Triage Requirements” (xem URL trong Ghi chú). Theo hướng dẫn BOD 26-04 cho các dịch vụ đám mây hoặc ngừng sử dụng sản phẩm nếu biện pháp khắc phục không có sẵn. Các bên liên quan có trách nhiệm đánh giá mỗi tài sản về sự phơi bày trên Internet và đảm bảo tuân thủ hướng dẫn cập nhật vá BOD 26-04.

Viết ngoài phạm vi trong bộ giải mã Brotli của Google

Một lỗ hổng tràn bộ đệm trong bộ giải mã Brotli (c/dec/decode.c) trong các phiên bản Google Brotli từ 1.0.3 đến 1.2.0 trên tất cả các nền tảng cho phép một kẻ tấn công không xác thực từ xa để làm hỏng bộ nhớ trạng thái giải mã ngoài phạm vi, tiết lộ nội dung bộ nhớ nhạy cảm, gây ra tình trạng không thể sử dụng dịch vụ hoặc có thể thực thi mã code tùy ý sử dụng một luồng Brotli-compressed stream được tạo ra.

CNA cấp mã: Google · Loại lỗi: CWE-787 | CWE-252

Sản phẩm bị ảnh hưởng: Google Brotli (1.0.3 → < 1.0.10, 1.1.0 → < 1.1.1)

Tham chiếu:nodejs.org (bản vá)github.com

Hồ sơ CVE NVD ↗CVE.org ↗Tin liên quan