Durante este ejercicio de red-teaming, también encontramos una vulnerabilidad que permite la ejecución remota de código sin autenticación en Brotli, una biblioteca de compresión ampliamente desplegada que está incluida en muchos programas como Node.js, Bun y Envoy.
La falla podría permitir a un atacante ejecutar su propio código en los sistemas afectados enviando o respondiendo con datos comprimidos maliciosos, sin necesidad de crear una cuenta de usuario. Es decir, un servidor sin parches que acepte entrada comprimida podría ser tomado por un cliente malicioso, y un cliente sin parches que acepte entrada comprimida (como "curl --compressed") podría ser tomado por un servidor malicioso.
Este problema de causa raíz ya se había corregido en el código fuente de Brotli en febrero, pero en ese momento no se sabía que daba lugar a una vulnerabilidad de seguridad y no había una versión más reciente de Brotli. Dado que Brotli está integrado en otros programas, cualquier software que incluya esta biblioteca necesita tomar también la actualización, seguido por los usuarios de ese software. Divulgamos la vulnerabilidad a Brotli y a otros proyectos posteriores como Node.js, que han publicado o están publicando actualmente actualizaciones de seguridad, y Brotli lanzó nuevas versiones y publicó un CVE.
Más detalles sobre el parche y las mitigaciones a continuación:
https://patchtheplanet.org/brotli