Brotli

🔍 Contexte Publié par Aikido Security le 26 octobre 2026, cet article détaille la vulnérabilité CVE-2026-111497, surnommée Node2Shell puis HTTP2Shell, découverte dans le décodeur Brotli de Google. La faille a été initialement divulguée par Node.js le 21 octobre 2026, avant de s’étendre à de nombreux autres écosystèmes. 🐛 Nature de la vulnérabilité CVE-2026-111497 est une écriture hors limites (CWE-787) combinée à un retour de valeur non vérifié (CWE-252) dans la fonction DecodeBlockTypeAndLength() du décodeur Brotli. Elle affecte les versions 1.0.3 à 1.2.0 sur toutes les plateformes. ...

📅 Source : OpenSourceMalware.com, publié le 24 octobre 2026. Cet article de recherche documente l’étendue de la vulnérabilité CVE-2026-111497, surnommée « Brotlipocalypse », découverte dans le décodeur de l’algorithme de compression Google Brotli. 🔍 Nature de la vulnérabilité CVE-2026-111497 est un buffer overflow (écriture hors limites) dans le fichier c/dec/decode.c du décodeur Brotli, affectant les versions 1.0.3 à 1.2.0. Lorsqu’un flux demande un changement de type de bloc non autorisé, le décodeur répond « besoin de plus d’entrée » au lieu de signaler une erreur, ce qui provoque des écritures au-delà d’un buffer interne de 8 octets. La vulnérabilité est associée aux CWEs CWE-252 (Unchecked Return Value) et CWE-787 (Out-of-bounds Write), avec un score de sévérité 9.4 sur CVE v4. Elle a été divulguée par OpenAI Codex Security. Le commit de correction (0ed4268a) a été publié sur google/brotli le 27 février 2026, sans advisory, et est resté public pendant 8 mois avant d’être identifié comme correctif de sécurité. ...