https://cyberveille.ch/tags/brotli/ Recent content in Brotli on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Mon, 26 Oct 2026 00:00:00 +0100 https://cyberveille.ch/posts/2026-10-26-cve-2026-111497-faille-critique-brotli-http2shell-affecte-node-js-python-net-java-et-plus/ Mon, 26 Oct 2026 00:00:00 +0100 https://cyberveille.ch/posts/2026-10-26-cve-2026-111497-faille-critique-brotli-http2shell-affecte-node-js-python-net-java-et-plus/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié par Aikido Security le 26 octobre 2026, cet article détaille la vulnérabilité <strong>CVE-2026-111497</strong>, surnommée <strong>Node2Shell</strong> puis <strong>HTTP2Shell</strong>, découverte dans le décodeur <strong>Brotli</strong> de Google. La faille a été initialement divulguée par Node.js le 21 octobre 2026, avant de s&rsquo;étendre à de nombreux autres écosystèmes.</p> <h2 id="-nature-de-la-vulnérabilité">🐛 Nature de la vulnérabilité</h2> <p><strong>CVE-2026-111497</strong> est une <strong>écriture hors limites (CWE-787)</strong> combinée à un <strong>retour de valeur non vérifié (CWE-252)</strong> dans la fonction <code>DecodeBlockTypeAndLength()</code> du décodeur Brotli. Elle affecte les versions <strong>1.0.3 à 1.2.0</strong> sur toutes les plateformes.</p> https://cyberveille.ch/posts/2026-10-26-cve-2026-111497-brotlipocalypse-vulnerabilite-critique-dans-le-decodeur-brotli-affecte-des-centaines-de-projets/ Mon, 26 Oct 2026 00:00:00 +0100 https://cyberveille.ch/posts/2026-10-26-cve-2026-111497-brotlipocalypse-vulnerabilite-critique-dans-le-decodeur-brotli-affecte-des-centaines-de-projets/ <p>📅 <strong>Source</strong> : OpenSourceMalware.com, publié le 24 octobre 2026. Cet article de recherche documente l&rsquo;étendue de la vulnérabilité <strong>CVE-2026-111497</strong>, surnommée <strong>« Brotlipocalypse »</strong>, découverte dans le décodeur de l&rsquo;algorithme de compression <strong>Google Brotli</strong>.</p> <p>🔍 <strong>Nature de la vulnérabilité</strong></p> <p>CVE-2026-111497 est un <strong>buffer overflow (écriture hors limites)</strong> dans le fichier <code>c/dec/decode.c</code> du décodeur Brotli, affectant les versions <strong>1.0.3 à 1.2.0</strong>. Lorsqu&rsquo;un flux demande un changement de type de bloc non autorisé, le décodeur répond « besoin de plus d&rsquo;entrée » au lieu de signaler une erreur, ce qui provoque des écritures au-delà d&rsquo;un buffer interne de 8 octets. La vulnérabilité est associée aux CWEs <strong>CWE-252 (Unchecked Return Value)</strong> et <strong>CWE-787 (Out-of-bounds Write)</strong>, avec un score de sévérité <strong>9.4 sur CVE v4</strong>. Elle a été divulguée par <strong>OpenAI Codex Security</strong>. Le commit de correction (<code>0ed4268a</code>) a été publié sur <code>google/brotli</code> le <strong>27 février 2026</strong>, sans advisory, et est resté public pendant <strong>8 mois</strong> avant d&rsquo;être identifié comme correctif de sécurité.</p>