Обзор
21 октября 2026 года проект Node.js опубликовал бюллетень безопасности для CVE-2026-111497, уязвимости записи за пределами буфера в декодере Brotli, поставляемом в комплекте с Node.js. Уязвимость затрагивает ветки релизов Node.js 26.x, 24.x и 22.x. Node.js оценивает эту проблему как «Высокую» (High), в то время как Google, назначивший номер CVE (CNA), присвоил ей критическую оценку CVSSv4, равную 9.2.
Злоумышленник, способный предоставить данные Brotli, которые приложение распаковывает с помощью node:zlib, может повредить память процесса. Согласно Node.js, это повреждение может привести к сбою процесса, раскрытию конфиденциальной памяти процесса или удаленному выполнению кода. Таким образом, подверженность угрозе зависит от того, передает ли приложение сжатые данные, контролируемые злоумышленником, уязвимому декодеру.
По состоянию на 26 октября 2026 года компании Rapid7 не известно о случаях эксплуатации данной уязвимости «в дикой природе», а CVE-2026-111497 не включена в каталог известных эксплуатируемых уязвимостей CISA. Тем не менее, учитывая потенциал уязвимости к раскрытию памяти или выполнению удаленного кода (RCE), Rapid7 рекомендует организациям уделять первоочередное внимание ее устранению.
Технический обзор
CVE-2026-111497 классифицируется как запись за пределами буфера (CWE-787) и непроверяемое возвращаемое значение (CWE-252). Согласно бюллетеню поставщика, декодер обрабатывал недопустимый переключатель блока Brotli как временную потребность в дополнительных входных данных, а не как постоянную ошибку формата. Затем потоковый декодер продолжал добавлять входные байты во внутренний буфер размером в восемь байт, позволяя поврежденным входным данным производить запись за пределы буфера и повреждать память процесса.
Уязвимость берет начало в Google Brotli, которую затронутые ветки релизов Node.js используют в качестве встроенной зависимости. В записи CVE указаны затронутые версии исходного кода Brotli на всех платформах: от 1.0.3 до 1.0.10, от 1.1.0 до 1.1.1 и от 1.2.0 до 1.2.1. Проект Node.js устранил проблему во встроенном декодере в исправлениях Node.js, перечисленных ниже.
Поскольку CVE-2026-111497 затрагивает вышестоящий (upstream) декодер Google Brotli, масштаб проблемы не ограничивается Node.js. В бюллетенях поставщиков и проектов также отмечены затронутые реализации в Bun, пакетах Python Brotli и brotlicffi, .NET, Envoy и Istio, brotli4j, а также пакетах операционных систем. Затронутые версии, уровень подверженности по умолчанию и способы устранения различаются в зависимости от продукта; наличие уязвимого декодера само по себе не означает подверженность угрозе, если только приложение не обрабатывает данные Brotli, управляемые злоумышленником. Организациям следует обратиться к бюллетеням соответствующих нижестоящих поставщиков или дистрибутивов, чтобы определить затронутые версии, оценить степень риска и выбрать подходящий способ устранения.
Рекомендации по минимизации угроз
Для устранения CVE-2026-111497 доступны обновления безопасности от поставщиков. Организациям, использующим затронутый релиз Node.js, следует выполнить обновление в срочном порядке, вне стандартных циклов выпуска патчей:
- Затронуты версии Node.js 22.x до 22.23.4; обновитесь до версии 22.23.4 или более поздней.
Затронуты версии Node.js 22.x до 22.23.4; обновитесь до версии 22.23.4 или более поздней.
- Затронуты версии Node.js 24.x до 24.22.1; обновитесь до версии 24.22.1 или более поздней.
Затронуты версии Node.js 24.x до 24.22.1; обновитесь до версии 24.22.1 или более поздней.
- Затронуты версии Node.js 26.x до 26.12.1; обновитесь до версии 26.12.1 или более поздней.
Затронуты версии Node.js 26.x до 26.12.1; обновитесь до версии 26.12.1 или более поздней.
Поставщик заявляет, что ветки выпусков Node.js с прекращенным сроком поддержки (EOL) также следует считать уязвимыми при выходе обновлений безопасности. Организациям, использующим устаревшие версии, следует перейти на поддерживаемую ветку релизов с исправлениями. Node.js не выпускала официальных временных обходных путей; если немедленное обновление невозможно, Rapid7 рекомендует ограничить или отключить пути в приложениях, которые распаковывают ненадежные данные Brotli, в качестве временной меры по снижению риска.
Актуальные рекомендации по минимизации угроз см. в .
Клиенты Rapid7
Exposure Command, Vulnerability Management и Nexpose
Клиенты Exposure Command, Vulnerability Management и Nexpose могут оценить подверженность CVE-2026-111497 с помощью аутентифицированной проверки уязвимостей для Linux и macOS, которая, как ожидается, будет доступна в выпуске контента от 26 октября. Проверка уязвимостей для Windows находится в разработке, обновление будет предоставлено в ближайшее время. Пожалуйста, обращайтесь к этому блогу для получения самой свежей информации.
Обновления
- 26 октября 2026 г.: Первоначальная публикация.
26 октября 2026 г.: Первоначальная публикация.
