- 格式錯誤的Brotli輸入可導致程序崩潰、內存披露或遠程程式碼執行。
- Node.js在22.23.4、24.22.1及26.12.1版本修補漏洞。
- Node.js於10月21日為其三個受支援版本線22.x、24.x及26.x發布保安更新，修補10個漏洞。
Node.js於10月21日為其三個受支援版本線發布保安更新，修補影響22.x、24.x及26.x的Brotli解碼器漏洞。
能向使用node:zlib的應用程式提供格式錯誤Brotli數據的攻擊者，可破壞程序內存。Node.js表示，這可能導致程序崩潰、披露程序內存或遠程程式碼執行，讓攻擊者選擇的程式碼在受影響系統上運行。
Node.js確認OpenAI Codex Security的Khai Tran及Sylvie Mayer報告該漏洞。The Hacker News表示，目前未有該漏洞已在野外遭利用的報告。
格式錯誤Brotli輸入可越界寫入解碼器緩衝區
The Hacker News表示，該漏洞是由格式錯誤的壓縮輸入觸發的越界寫入。當應用程式解壓縮由攻擊者控制的Brotli數據時便會受影響，包括請求正文或從另一部伺服器取得的回應。
Imperva在沒有偵錯器或自訂建置的情況下，於官方Node.js 24.22.0 Linux arm64映像檔示範程式碼執行。其測試並非每次嘗試均成功，在該Linux arm64配置中須多次嘗試。
Imperva在測試固定版本的Express 5.0.0至5.3.0及body-parser 2.0.0至2.3.0時，透過請求正文及回應兩條路徑重現程式碼執行。
Node.js引入上游Brotli驗證修補程式
The Hacker News表示，Node.js透過引入上游Brotli修補程式修復問題，該修補程式會更早拒絕無效輸入，令解碼器在越界寫入緩衝區前停止。在Node.js 24.22.1上，Imperva表示，相同數據遭拒絕，沒有程式碼運行。
Node.js為其三個受支援版本線發布更新，並在10月21日的發布中修補10個漏洞。項目表示，長期支援版本線的修補版本為22.23.4及24.22.1，目前版本線則為26.12.1。
Brotli修補範圍超越Node.js
Google表示，正於Brotli 1.0.10、1.1.1及1.2.1版本修復該漏洞。Heise online表示，該解碼器問題影響所有平台上的Brotli 1.0.3至1.2.0版本。
The Hacker News表示，該漏洞於10月21日首次披露，當時Node.js及Google推出修補程式。相關更改已於2月27日加入Brotli原始碼，但直至10月21日才有新的Brotli版本載有該修補程式。
Node.js表示，Node.js 20.x及更早版本已經終止支援，不會獲得修補程式。這些版本應轉移至受支援版本線。
該問題亦影響使用GoogleBrotli解碼器的軟件。The Hacker News表示，受影響產品包括Bun、Microsoft.NET、Python Brotli套件，以及配置為解壓縮Brotli的Envoy代理伺服器。
防守方現在要做甚麼
- 將Node.js 20.x及更早版本升級至受支援版本線。
常見問題
甚麼是Node.js Brotli漏洞？
Node.js表示，格式錯誤的Brotli輸入可破壞程序內存，導致程序崩潰、披露程序內存或遠程程式碼執行。該漏洞影響Node.js 22.x、24.x及26.x。
Node.js Brotli漏洞是否已遭利用？
The Hacker News表示，目前未有該漏洞已在野外遭利用的報告。Imperva在測試中於官方Node.js 24.22.0 Linux arm64映像檔示範程式碼執行。
Node.js Brotli漏洞如何運作？
The Hacker News表示，當應用程式解壓縮由攻擊者控制的Brotli數據，例如請求正文或取得的回應時，便會受影響。該報道表示，格式錯誤的壓縮輸入會觸發解碼器越界寫入。
誰報告Node.js Brotli漏洞？
Node.js確認OpenAI Codex Security的Khai Tran及Sylvie Mayer報告該漏洞。
來源
- Node.js, Wednesday, October 21, 2026 Security Releases, Node.js原始文件
- Node.js Brotli Decoder Bug Could Allow Remote Code Execution in All Supported Versions, The Hacker News
- Researchers Demonstrate Node2Shell RCE Exploit on Node.js Build Using Crafted Brotli Data, The Hacker News
- Brotli Decoder Flaw Behind Node.js RCE Also Affects Bun, Python and Other Widely Used Software, The Hacker News
- PHP Issues Second Windows Security Update in Five Days to Fix Brotli Code Execution Flaw, The Hacker News
- Node2Shell: Brotli Flaw Triggers Patching Across Microsoft, Node.js, Python Packages, SecurityWeek
- Brotli decoder flaw affects Bun, Python and more, not just Node.js, heise online
我們如何核實這篇報道
| 內容 | 來源 | 狀態 |
|---|---|---|
| Node.js於10月21日為其三個受支援版本線22.x、24.x及26.x發布保安更新，修補10個漏洞。 | Node.js, via The Hacker News | 引述 |
| Node.js表示，Brotli解碼器漏洞可導致遠程程式碼執行，即攻擊者可在受影響系統上運行其選擇的程式碼。 | Node.js, via The Hacker News | 引述 |
| Node.js修補版本為22.23.4、24.22.1及26.12.1。 | Node.js, via The Hacker News | 引述 |
| The Hacker News表示，當應用程式解壓縮由攻擊者控制的Brotli數據時，包括請求正文或取得的回應，便會觸發該漏洞。 | The Hacker News | 引述 |
| The Hacker News表示，該漏洞是由格式錯誤的壓縮輸入觸發的越界寫入。 | The Hacker News | 引述 |
| The Hacker News表示，node.js透過引入上游Brotli修補程式修復漏洞，該修補程式會更早拒絕無效輸入。 | The Hacker News | 引述 |
| Imperva在沒有偵錯器或自訂建置的情況下，於官方Node.js 24.22.0 Linux arm64映像檔示範程式碼執行。 | Imperva, via The Hacker News | 引述 |
| Imperva表示，在已修補的Node.js 24.22.1版本上，相同數據遭拒絕，沒有程式碼運行。 | Imperva, via The Hacker News | 引述 |
| Imperva使用指定的Express及body-parser版本，透過請求正文及回應兩條路徑重現程式碼執行。 | Imperva, via The Hacker News | 引述 |
| heise online表示，該漏洞影響所有平台上的Brotli 1.0.3至1.2.0版本。 | heise online | 引述 |
| Google表示，Brotli修補程式已在1.0.10、1.1.1及1.2.1版本提供。 | Google, via heise online | 引述 |
| The Hacker News表示，該漏洞亦影響Bun、Microsoft.NET、Python Brotli套件，以及配置為解壓縮Brotli的Envoy代理伺服器。 | The Hacker News | 引述 |
| The Hacker News表示，該漏洞於10月21日首次披露，當時Node.js及Google推出修補程式。 | The Hacker News | 引述 |
| The Hacker News表示，修補程式於2月27日加入Brotli原始碼，但直至10月21日才納入新的Brotli版本。 | The Hacker News | 引述 |
| The Hacker News表示，目前未有該漏洞已在野外遭利用的報告。 | The Hacker News | 引述 |
| 重建的PHP套件編號為8.5.12-1、8.4.27-1、8.3.36-1及8.2.35-1。 | PHP, via The Hacker News | 引述 |
| 該漏洞影響Node.js 26.x、24.x及22.x。 | Node.js | 已證實 |
| Node.js建議升級，因為格式錯誤的Brotli輸入可破壞程序內存，導致程序崩潰、內存披露或遠程程式碼執行。 | Node.js | 已證實 |
| Node.js確認OpenAI Codex Security的Khai Tran及Sylvie Mayer報告該漏洞。 | Node.js | 已證實 |
| SecurityWeek表示，應用程式應更新已修補的運行環境、重新啟動服務及重建容器映像檔，因為正在運行的程序仍保留有漏洞的解碼器。 | SecurityWeek | 引述 |
| The Hacker News表示，openAI Codex Security報告該漏洞，而Node.js維護者修復漏洞。 | The Hacker News | 引述 |
未能核實
- 示範的漏洞利用是否適用於Node.js 22.x或26.x，尚未確定。
- 該漏洞是否已在野外遭利用，尚未確定。
- 受影響的應用程式或系統數量，尚未確定。
- 所有捆綁Brotli的軟件是否已發布修補程式，尚未確定。
