このレッドチーム演習の中で、Brotli において認証なしでリモートコード実行を可能にする脆弱性も発見しました。Brotli は、Node.js、Bun、Envoy など多くのソフトウェアに組み込まれている広く普及している圧縮ライブラリです。
この脆弱性により、攻撃者はユーザーアカウントを作成する必要なく、悪意のある圧縮データを送信または応答として返すことで、影響を受けるシステム上で自身のコードを実行できる可能性があります。つまり、圧縮された入力を受け付ける未修正のサーバーは悪意のあるクライアントによって、圧縮された入力を受け付ける未修正のクライアント(「curl --compressed」など)は悪意のあるサーバーによって乗っ取られる可能性があります。
この根本原因となる問題は実際には2月に Brotli のソースコードで修正されていましたが、当時はそれがセキュリティ脆弱性を引き起こしていることが知られておらず、Brotli の新しいリリースも行われていませんでした。Brotli は他のソフトウェアに組み込まれているため、このライブラリを含むすべてのソフトウェアも更新を取り込む必要があり、その後、そのソフトウェアのユーザーも更新することになります。我々はこの脆弱性を Brotli および Node.js などの他の下流プロジェクトに開示しました。これらのプロジェクトはセキュリティアップデートをリリース済みまたは現在リリース中であり、Brotli も新しいリリースバージョンを作成し、CVE を公開しました。
パッチと緩和策の詳細は以下の通りです:
https://patchtheplanet.org/brotli