Brotli-Decoder-Lücke nicht nur in Node.js, sondern auch in Bun, Python und mehr

In der vergangenen Woche wurde eine Sicherheitslücke in Node.js bekannt, die rasch den Spitznamen „node2shell“ bekommen hat. Es handelt sich um eine Lücke des Decoders für den Kompressionsalgorithmus Brotli von Google. Angreifer können dadurch aus dem Netz Schadcode einschleusen. Nun ist klar: Der Fehler steckt in der Brotli-Bibliothek selbst und betrifft viel mehr Software, die damit ausgestattet ist.

Der Schwachstelleneintrag wurde inzwischen angepasst. Es handelt sich um einen potenziellen Pufferüberlauf des Brotli-Decoders von Google in den Versionen 1.0.3 bis 1.2.0 auf allen Plattformen. Nicht authentifizierte Angreifer aus dem Netz können mit sorgsam präparierten Brotli-Datenströmen Fehler in der Speicherverwaltung auslösen und dabei sensible Speicherbereiche auslesen, einen Denial of Service (DoS) provozieren oder sogar beliebigen Schadcode einschleusen und ausführen (CVE-2026-111497, CVSS4 9.2, Risiko „kritisch“). Die Lücke hat nun auch einen neuen Spitznamen erhalten: „Broccoli2Shell“ – mitsamt eigener Webseite und Domain.

Google schließt die Sicherheitslücke demnach in den Brotli-Versionen 1.0.10, 1.1.1 und 1.2.1. Die fehlerbereinigten Versionen von Node.js lauten 26.12.1, 24.22.1 und 22.23.4 und stehen seit der vergangenen Woche bereit. Für Python stehen die Bibliotheken „Brotli“ in Fassung 1.2.1 sowie „brotlicffi“ mit Stand 1.2.1.0 bereit und stopfen das Sicherheitsleck. Ebenfalls betroffen ist demnach Software, die Brotli über C-Code-Bindings nutzt, etwa auch Java-JNI-Wrapper, PHP- und Ruby-Erweiterungen oder Go-cgo-Bindings. Wer solche einsetzt, sollte nach Bundles mit den Versionsnummern der korrigierten Brotli-Fassungen Ausschau halten.

Diverse Software mit Brotli-Support anfällig

Die IT-Sicherheitsfirma Aikido listet in einer Analyse weitere betroffene Software auf, darunter auch C++, Bun oder Envoy. Leichte Entwarnung gibt es für Apache und Nginx, die zumindest in den Standardkonfigurationen kein Brotli dekodieren. Die Analyse liefert weitere Handreichungen, wie Admins etwa bis zum Update das Brotli-Decoding deaktivieren können. Auch .NET ist betroffen: Microsoft verteilt seit dem 25. Oktober Updates für die unterstützten Runtimes und SDKs. Die Broccoli2Shell-Webseite führt zudem viele Softwareversionen auf, die noch anfällig oder bereits gefixt sind. Admins sollten schauen, ob sie davon welche einsetzen, und Aktualisierungen zügig installieren oder temporäre Gegenmaßnahmen bis zum Update umsetzen.

Entdeckt hat die Lücke laut Aikido bereits im Februar OpenAI. Die Korrektur im Quellcode galt damals jedoch nicht als Sicherheitsfix, eine fehlerbereinigte Version erschien erst jetzt.

Inzwischen stehen Proof-of-Concept-Exploits bereit, teils auch öffentlich. Der Sicherheitsfirma Imperva gelang damit bereits Codeausführung auf einem unveränderten Node.js-Build, wenn auch erst nach mehreren Versuchen. Angriffe in freier Wildbahn sind bislang nicht bekannt.