🗜 Brotli CVE-2026-111497: уязвимость в библиотеке сжатия задевает не только Node.js. Чинится пересборкой образов

Коллеги, среда. Сначала короткое напоминание: 27 октября CISA подтвердила активную эксплуатацию PHP2Shell в дикой природе. Если PHP на серверах ещё не обновлён — начните рабочий день с него.

📌 ФАКТЫ
Критическая уязвимость в декодере Brotli — популярной библиотеке сжатия данных от Google (out-of-bounds write / запись за пределы буфера)

Вектор атаки затрагивает любой софт, который распаковывает входящий Brotli-поток от недоверенной стороны. По аналитике Tenable, под ударом широкий стек: Node.js, .NET, Bun, Envoy, Istio, HTTP-клиенты Python, FFmpeg, Apache Arrow, ClickHouse

В сети уже доступны публичные PoC-эксплойты, сканеры фиксируют первые волны вредоносного трафика

Исправленные релизы:

Node.js: 26.12.1 / 24.22.1 / 22.23.4

Библиотека Brotli: 1.2.1 / 1.1.1 / 1.0.10

Ветки Node.js 20.x, 23.x, 25.x находятся вне цикла поддержки (EOL) — обновлений для них не будет

🛠 ГДЕ ИСКАТЬ УЯЗВИМЫЙ БИНАРНИК
Bash

# Проверка локального рантайма Node.js
node -v 2>/dev/null

# Системные пакеты библиотеки в ОС
dpkg -l | grep -i brotli || rpm -qa | grep -i brotli

# Python-окружения
pip show brotli brotlicffi 2>/dev/null | grep -E 'Name|Version'

# Быстрый аудит локальных Docker-образов через Grype (Anchore)
for img in $(docker images --format '{{.Repository}}:{{.Tag}}'); do
  echo "== $img =="
  grype "$img" -q 2>/dev/null | grep -i brotli
done

🛡 ПЛАН ДЕЙСТВИЙ
Обновить системные пакеты дистрибутива на хостах и перезапустить зависимые службы (веб-серверы, прокси).

Пересобрать контейнеры: обновить lock-файлы зависимостей проектов (npm/yarn/pnpm, pip), подтянуть свежие базовые образы с docker build --no-cache и задеплоить заново.

Проверить запущенный прод: убедиться, что контейнеры запущены из свежих digest-хешей, а не из старых закешированных слоев (docker ps --format '{{.Image}}\t{{.CreatedAt}}').

💡 В ЧЁМ СУТЬ

Системные библиотеки сжатия и парсинга давно превратились в скрытую бомбу supply-chain: они статически линкуются в бинарники и зашиваются в базовые образы контейнеров десятками разных путей.

Обычный

apt upgrade

на хосте не лечит то, что упаковано внутрь Docker-контейнера. Наличие SBOM (Software Bill of Materials) и сканеров образов в CI/CD — единственный способ превратить расследование «на каких из сотни сервисов у нас собран Brotli» из многодневного аврала в один короткий скрипт.

#security #brotli #nodejs #containers #supplychain #sysadmin #admin_future