Продолжение истории с уязвимостью в декодере Brotli (о срочных патчах мы писали 27 октября). Появились два существенно новых факта.
Что изменилось
- CISA добавила CVE-2026-111497 в каталог KEV 27 октября, то есть подтвердила атаки в реальной среде. Федеральные ведомства США обязаны закрыть уязвимость до 10 ноября.
- Imperva выполнила код на официальном образе Node.js 24.22.0 (Linux arm64) без отладчика и специальной сборки. Атака шла через тела запросов и ответов в Express 5.0–5.3 и body-parser 2.0–2.3. Срабатывает не с первой попытки, но срабатывает. Раньше публичный PoC работал только на намеренно ослабленной сборке.
Суть ошибки
Декодер неправильно обрабатывал невозможную смену типа блока в потоке: принимал её за запрос новых данных и продолжал работать в некорректном состоянии. Это приводило к записи за границы буфера. Затронуты ветки Node.js 22.x, 24.x и 26.x. Исправления вышли 21 октября, например 24.22.1. Ветки 20.x и старше исправления не получат. Уязвимость затрагивает и другое ПО с этой реализацией Brotli; для .NET вышло экстренное обновление.
Что делать
- Обновить Node.js. Проверить также контейнерные образы и артефакты со встроенным бинарником
node: инвентаризация пакетов их часто пропускает. - Перезапустить процессы, пересобрать и заново развернуть образы.
- Перевести системы с 20.x и старше на поддерживаемую ветку.
- Если обновиться сразу нельзя, заблокировать запросы со сжатием Brotli на прокси или отключить его декодирование. Правила WAF патч не заменяют: например, они не покрывают ответы, которые приложение само получает от других серверов.
This is a follow-up to the Brotli decoder flaw (we covered the emergency patches on October 27). Two significant new facts have emerged.
What changed
- CISA added CVE-2026-111497 to the KEV catalog on October 27, confirming in-the-wild attacks. US federal agencies must remediate by November 10.
- Imperva achieved code execution on the official Node.js 24.22.0 image (Linux arm64) with no debugger and no custom build. The attack went through request and response bodies in Express 5.0–5.3 and body-parser 2.0–2.3. It takes several tries, but it works. The earlier public PoC only worked on a deliberately weakened build.
The bug
The decoder mishandled an impossible block-type change in the stream. It treated it as a request for more input and kept decoding in an invalid state, which led to an out-of-bounds write. Node.js 22.x, 24.x and 26.x are affected. Fixes shipped on October 21, for example 24.22.1. The 20.x line and older will not be patched. Other software that uses this Brotli implementation is affected too, and .NET received an emergency update.
What to do
- Update Node.js. Also check container images and artifacts that bundle a
nodebinary, since package inventories often miss them. - Restart processes, then rebuild and redeploy images.
- Move systems on 20.x and older to a supported line.
- If you can’t patch right away, block Brotli-compressed requests at the proxy or disable Brotli decoding. WAF rules are not a substitute for patching: for example, they don’t cover responses your app fetches from other servers.