Brotli RCE Schwachstelle Node2Shell in CISA KEV

Die Brotli RCE Schwachstelle CVE-2026-111497, bekannt als Node2Shell, steht seit dem 27. Oktober im Katalog der ausgenutzten Schwachstellen (KEV) der CISA. Brotli ist Kompressionscode in Laufzeitumgebungen, Webservern und Browsern, die Lücke steckt also an Stellen, die niemand als Produkt führt. Am 26. Oktober waren sich Forscher noch uneins, wie zuverlässig sich Code ausführen lässt; die CISA führt sie jetzt als ausgenutzt.

Was ist passiert: Die Brotli RCE Schwachstelle

Die Brotli RCE Schwachstelle ist ein Speicherfehler im Decoder von Google Brotli, Versionen 1.0.3 bis 1.2.0. Die NVD beschreibt einen Buffer Overflow mit ungeprüftem Rückgabewert. Ein entfernter, nicht authentifizierter Angreifer, der ein Programm dazu bringt, einen präparierten Brotli-Datenstrom zu entpacken, kann Decoder-Speicher beschädigen, Speicherinhalte auslesen, den Prozess zum Absturz bringen oder möglicherweise Code ausführen. Google bewertet die Lücke mit 9,2 (CVSS v4), Red Hat mit 8,1 (CVSS v3.1), weil der Datenstrom sehr genau präpariert sein muss. Stand 28. Oktober ist die eigene Analyse der NVD noch offen.

Behoben ist die Lücke in Brotli 1.0.10, 1.1.1 und 1.2.1. Node.js lieferte die Korrekturen am 21. Oktober in 22.23.4, 24.22.1 und 26.12.1. Die Python-Pakete Brotli (1.2.1) und brotlicffi (1.2.1.0) sind korrigiert, Microsoft veröffentlichte am 25. Oktober außerplanmäßige .NET-Updates, und HKCERT verweist außerdem auf ein PHP-Update vom 26. Oktober.

Die CISA nahm die Lücke am 27. Oktober in den KEV-Katalog auf und setzte US-Behörden eine Frist bis zum 10. November. Stand 28. Oktober berichtet Security Affairs von Ausnutzungsversuchen: Previdian zeichnete bis zum 27. Oktober einen Versuch auf, und ELLIO sah Datenverkehr mit einem öffentlichen Exploit. Wie weit das reicht, ist unklar.

Warum das wichtig ist

Brotli steht auf keiner Asset-Liste. Es steckt in Node.js, in Python-Paketen und .NET, in Webservern, die Content-Encoding: br akzeptieren, und in Firefox und Thunderbird. Red Hat weist darauf hin, dass Sie nur betroffen sind, wenn eine Anwendung Brotli-Daten entpackt, die ein Angreifer liefern kann. Das trifft aber jeden Webdienst, der komprimierte Anfragen annimmt, und jeden Client, der von einem fremden Server lädt.

Das Paket zu aktualisieren reicht nicht. Ein laufender Prozess behält die alte Bibliothek im Speicher, und ein Container-Image auf einer alten Basis bleibt verwundbar, bis es neu gebaut wird. Über PHP2Shell, eine weitere Lücke im Kern einer Laufzeitumgebung, haben wir am 21. Oktober und erneut in unserem Blog vom 28. Oktober berichtet; diese hier ist schwerer zu erfassen, weil sie in Abhängigkeiten steckt.

Was Sie jetzt tun sollten

1. Finden Sie heraus, wo Brotli läuft: Node.js-Dienste, .NET-Anwendungen, Python-Dienste mit Brotli oder brotlicffi, Reverse-Proxys und Webserver mit br-Kodierung sowie Software mit eigener Kopie. Prüfen Sie auf Red-Hat-Systemen die Pakete brotli, nodejs, firefox und thunderbird.
2. Aktualisieren Sie auf behobene Versionen (Brotli 1.0.10, 1.1.1 oder 1.2.1; Node.js 22.23.4, 24.22.1 oder 26.12.1; Microsofts .NET-Update vom 25. Oktober). Starten Sie danach die betroffenen Prozesse neu und bauen Sie Container-Images neu und spielen Sie sie neu aus.
3. Können Sie heute nicht patchen, blockieren oder entfernen Sie Content-Encoding: br von nicht vertrauenswürdigen Clients am Proxy oder an der Firewall, oder schalten Sie die Brotli-Dekodierung ab, bis Sie aktualisieren können. So raten CISA und Red Hat. Übergeben Sie keine nicht vertrauenswürdigen Daten an Brotli-Entpackfunktionen.
4. Achten Sie auf Abstürze und Neustarts von Diensten, die br-Verkehr verarbeiten, sowie auf unerwartete Kindprozesse oder ausgehende Verbindungen. In den geprüften Quellen fanden wir keine veröffentlichten Kompromittierungsindikatoren.

DIESEC Einschätzung

Bibliotheksfehler sind zuerst ein Inventarproblem und erst dann ein Patch-Problem. Wer nicht sagen kann, welche Dienste nicht vertrauenswürdige Daten entpacken oder welche Images nach dem Update neu gebaut wurden, kann gegenüber Prüfern oder Kunden nicht belegen, dass die Korrektur in der Produktion angekommen ist.

Nicht sicher, welche Ihrer Dienste Brotli nutzen oder ob gepatchte Systeme neu gestartet und neu gebaut wurden? Kontaktieren Sie DIESEC für eine Expositionsprüfung und Patch-Verifizierung.

Quellen: BleepingComputer | NVD | Red Hat RHSB-2026-015 | HKCERT | Security Affairs
Veröffentlicht: 2026-10-29 | Kategorie: Tägliche News | ~4 Min. Lesezeit