高危保安警报 (A26-10-48): Brotli 漏洞


 

发布日期: 2026年 10月 26日

最後更新: 2026年 10月 28日

描述:

Brotli 解码器存在一个缓冲区溢位漏洞。远端及未经身份验证的攻击者可透过含有漏洞的特制 Brotli 压缩资料流来破坏相邻的解码器状态记忆体，从而导致敏感记忆体洩漏、服务被拒绝或执行任意程式码。

漏洞的概念验证 (PoC) 程式码已被公开。系统管理员应立即为受影响的系统或应用程式安装修补程式，以减低受到网络攻击的风险。

 

受影响的系统:


所有使用 Brotli 的系统或应用程式，版本为：
  • 从1.0.3 到1.0.10 之前的版本
  • 从1.1.0 到1.1.1 之前的版本
  • 从1.2.0 到1.2.1 之前的版本

 

影响:

成功利用漏洞可以导致受影响的系统发生远端执行程式码、泄漏资讯及服务被拒绝。

 

建议:

Google 已发布新版本的 Brotli 程式库，以应对以上问题。原始码和更新的详细资料可从以下网址下载：
https://github.com/google/brotli

该漏洞已在部分受影响的系统或应用程式中修复，包括 Node.js、PHP、Python、RHEL、Ubuntu 和 Debian。以下仅列出部分受影响的系统或应用程式，并非完整列表。系统管理员应谘询产品供应商，并确认系统或应用程式是否受影响以及是否有提供相应的修补程式及缓解措施。如有，系统管理员应套用修补程式或遵循产品供应商提供的建议来降低风险。
Node.js
https://nodejs.org/en/blog/vulnerability/october-2026-security-releases
PHP
https://www.php.net/archive/2026.php#2026-10-26-1
Python (Brotli brotlicffi)
https://github.com/pypa/advisory-database/blob/main/vulns/brotli/PYSEC-2026-4322.yaml
https://github.com/pypa/advisory-database/blob/main/vulns/brotlicffi/PYSEC-2026-4323.yaml
Red Hat Enterprise Linux (RHEL)
https://access.redhat.com/security/cve/CVE-2026-111497
Ubuntu
https://ubuntu.com/security/CVE-2026-111497
Debian
https://security-tracker.debian.org/tracker/CVE-2026-111497

 

进一步资讯:

  • https://github.com/google/brotli
  • https://nvd.nist.gov/vuln/detail/cve-2026-111497
  • https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-111497


标签 : Brotli
标签