Während dieser Red-Team-Übung fanden wir auch eine Schwachstelle, die eine nicht authentifizierte Remote-Code-Ausführung in Brotli ermöglicht, einer weit verbreiteten Kompressionsbibliothek, die in vielen Softwareprodukten wie Node.js, Bun und Envoy enthalten ist.
Die Schwachstelle könnte es einem Angreifer ermöglichen, eigenen Code auf betroffenen Systemen auszuführen, indem er bösartige komprimierte Daten sendet oder mit diesen antwortet, ohne dass ein Benutzerkonto erstellt werden muss. Das heißt, ein ungepatchter Server, der komprimierte Eingaben akzeptiert, könnte von einem bösartigen Client übernommen werden, und ein ungepatchter Client, der komprimierte Eingaben akzeptiert (wie „curl --compressed“), könnte von einem bösartigen Server übernommen werden.
Diese Ursachenprobleme wurden tatsächlich bereits im Februar im Brotli-Quellcode behoben, doch war damals nicht bekannt, dass sie eine Sicherheitslücke darstellen, und es gab keine neuere Version von Brotli. Da Brotli in andere Software eingebaut ist, muss jede Software, die diese Bibliothek enthält, das Update ebenfalls übernehmen, gefolgt von den Nutzern dieser Software. Wir haben die Schwachstelle an Brotli und andere nachgelagerte Projekte wie Node.js gemeldet, die Sicherheitsupdates veröffentlicht haben oder derzeit veröffentlichen, und Brotli hat neue Release-Versionen erstellt und eine CVE veröffentlicht.
Weitere Einzelheiten zum Patch und zu Gegenmaßnahmen finden Sie unten:
https://patchtheplanet.org/brotli