https://cyberveille.ch/tags/oob-write/ Recent content in OOB Write on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Tue, 27 Oct 2026 00:00:00 +0100 https://cyberveille.ch/posts/2026-10-27-cve-2026-111497-node2shell-broccoli-guide-de-detection-pour-l-oob-write-du-decodeur-brotli/ Tue, 27 Oct 2026 00:00:00 +0100 https://cyberveille.ch/posts/2026-10-27-cve-2026-111497-node2shell-broccoli-guide-de-detection-pour-l-oob-write-du-decodeur-brotli/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié le 27 octobre 2026 sur GitHub Gist, ce document est un guide d&rsquo;ingénierie de détection pour <strong>CVE-2026-111497</strong> (alias Node2Shell / Broccoli), une vulnérabilité d&rsquo;<strong>écriture hors limites (OOB write)</strong> dans le décodeur Brotli (<strong>CWE-787 + CWE-252</strong>, <strong>CVSS v4.0 : 9.2</strong>). L&rsquo;article couvre la reproduction et la détection, non la découverte de la vulnérabilité.</p> <h2 id="-vulnérabilité">🐛 Vulnérabilité</h2> <ul> <li><strong>Produits affectés</strong> : Brotli 1.0.3–1.2.0 (bibliothèque upstream), ainsi que les copies embarquées dans <strong>Node.js</strong>, <strong>Python</strong>, <strong>Bun</strong>, <strong>Envoy</strong>, derrière des proxies nginx/Apache/CDN</li> <li><strong>Mécanisme</strong> : le décodeur confond une entrée malformée avec une entrée incomplète, remplit un buffer d&rsquo;état de 8 octets au-delà de sa limite et corrompt l&rsquo;état adjacent</li> <li><strong>Statut d&rsquo;exploitation</strong> : CISA SSVC (au 23/10/2026) = Exploitation = None ; CVE absent du KEV</li> <li><strong>Payload de test vérifié</strong> : 23 068 706 octets, SHA256 <code>15273d4e…</code></li> </ul> <h2 id="-versions-corrigées">🛠️ Versions corrigées</h2> <ul> <li><strong>Brotli</strong> : 1.0.10 / 1.1.1 / 1.2.1</li> <li><strong>Node.js</strong> : 22.23.4 / 24.22.1 / 26.12.1 (lignes EOL 25, 23, 21, 20 et antérieures : pas de correctif)</li> <li><strong>Python Brotli</strong> ≥ 1.2.1, <strong>brotlicffi</strong> ≥ 1.2.1.0</li> <li><strong>Bun</strong> ≥ 1.4.4</li> <li><strong>Envoy/Istio</strong> : selon le fournisseur</li> </ul> <h2 id="-règles-de-détection-fournies">📋 Règles de détection fournies</h2> <h3 id="sigma-logs-applicatifs">Sigma (logs applicatifs)</h3> <table> <thead> <tr> <th>Règle</th> <th>ID</th> <th>Statut</th> </tr> </thead> <tbody> <tr> <td>brotli-block-switch-probe</td> <td>d399f74f</td> <td>Vérifié, non déployé</td> </tr> <tr> <td>python-decoder-unhealthy</td> <td>39cd92fe</td> <td>Vérifié, non déployé</td> </tr> <tr> <td>node-zbuf-eof</td> <td>71830d89</td> <td>Vérifié, FP connus (TRIAGE)</td> </tr> <tr> <td>python-decoder-failed</td> <td>090042ad</td> <td>Vérifié, générique (TRIAGE)</td> </tr> <tr> <td>node-eof-near-zbuf (corrélation temporelle)</td> <td>999a07f6</td> <td>Vérifié, TRIAGE</td> </tr> <tr> <td>urllib3-decode-failure</td> <td>4c8d283a</td> <td>Syntaxe vérifiée</td> </tr> </tbody> </table> <h3 id="suricata">Suricata</h3> <ul> <li><strong>2026114971</strong> : tripwire corps de requête br (HTTP/1.1 + HTTP/2)</li> <li><strong>2026114972/73</strong> : anomalie egress (direction corrigée)</li> </ul> <h3 id="modsecurity">ModSecurity</h3> <ul> <li><strong>2026114975</strong> : corps de requête br (moteur v3, 7/7 fixtures)</li> </ul> <h3 id="falco">Falco</h3> <ul> <li><code>cve111497_falco.yaml</code> : crash→exec / memfd / egress — non compilé, validation requise</li> </ul> <h2 id="-points-dattention-opérationnels">⚠️ Points d&rsquo;attention opérationnels</h2> <ul> <li><code>process.versions.brotli</code> rapporte toujours <code>1.2.0</code> sur Node.js 24.22.1 patché — ne pas utiliser pour l&rsquo;inventaire</li> <li>Les erreurs décodeur atterrissent dans les logs applicatifs sans IP client ; les IPs sont dans les logs proxy — jointure nécessaire sur request ID ou timestamp+source</li> <li>Un exploit armé peut provoquer un SIGSEGV avant tout flush de log — capturer stdout/stderr au niveau runtime (docker/k8s log driver, journald)</li> <li>Aucune règle n&rsquo;est encore vérifiée en production réelle</li> </ul> <h2 id="-type-darticle">📌 Type d&rsquo;article</h2> <p>Guide d&rsquo;ingénierie de détection technique (analyse technique + recommandations de déploiement de règles), destiné aux équipes SOC et detection engineering pour opérationnaliser la détection de CVE-2026-111497.</p>