Brotli 漏洞从 Node 蔓延到整个 HTTP 生态
来源：aikido.dev — 2026-10-23
📋 概述
CVE-2026-111497 是 Google Brotli 解码器 1.0.3 至 1.2.0 的越界写，CVSS 9.2，攻击者只需发一段构造过的压缩流就能泄漏内存、崩溃进程甚至执行代码。Node.js 在 10 月 21 日披露后，Python 包随即被确认受影响，10 月 23 日又有更多语言与 HTTP 服务被卷入。根因今年 2 月已由 OpenAI 发现并在源码修好，但当时没被当作安全问题，所以每个自带 Brotli 的项目都得各自发版。
🔑 核心要点
解码器在应当拒绝数据时继续接受更多字节 ，溢出较小的工作缓冲区，破坏内存
双向可利用：恶意客户端能打未打补丁的服务器，恶意服务器也能打接受压缩响应的客户端
Python 生态只要装了 Brotli 1.2.0 及更早、或 brotlicffi 1.2.0.x 就暴露，requests / httpx / aiohttp 会自动加载
截至 10 月 23 日，pip-audit、Dependabot、Safety 都不会报 这部分 PyPI 包
Apache 与 Nginx 默认不解 Brotli ，暂时不在暴露面上
没有补丁的库和应用应当先关掉 Brotli 解码 ，不要等补丁
💡 金句
The root cause was fixed in the Brotli source code in February, but it wasn't recognized as a security issue at the time and no release shipped with the fix until now.
👍 0
❤️ 点赞
👎 0
沉底
← 返回 Lobsters 首页