Uma falha de corrupção de memória no decodificador Brotli, mantido pelo Google, foi divulgada nesta semana e permite a execução remota de código em aplicações que processam dados comprimidos no formato Brotli.
Contexto
A vulnerabilidade, identificada como CVE-2026-111497, foi descoberta por pesquisadores de segurança que observaram que dados especialmente manipulados podem sobrescrever áreas de memória além do limite de um buffer interno do decodificador. Esse tipo de erro de memória é típico em implementações que não validam corretamente o tamanho dos buffers antes de escrever dados descompactados.
Impacto
Entre os componentes afetados estão o runtime Node.js, a biblioteca Bun, os pacotes Python Brotli e brotlicffi, além de proxies Envoy configurados para descompressão Brotli. Cada um desses produtos incorpora a implementação de decodificação do Google, o que amplia a superfície de ataque. O cenário se complica quando servidores web ou serviços de API utilizam essas bibliotecas para lidar com tráfego comprimido, pois um atacante pode enviar um payload mal‑formado que, ao ser descompactado, corrompe a memória e executa código arbitrário com os privilégios do processo vulnerável.
Detalhes técnicos
De forma complementar, o risco não se limita a ambientes de produção; desenvolvedores que testam localmente também podem ser expostos caso utilizem versões não corrigidas das bibliotecas citadas. Segundo a fonte, as versões afetadas incluem Node.js até a 20.x, Bun até a 1.0.6, e as versões atuais dos pacotes Python Brotli e brotlicffi disponíveis no PyPI. O projeto Envoy também lista a falha em sua documentação de segurança para versões anteriores à 1.28. O vetor de ataque consiste em enviar um fluxo de dados comprimido que contém sequências que forçam o decodificador a escrever fora dos limites alocados, permitindo a injeção de código que será executado quando o processo ler a memória corrompida.
Encerramento
Para mitigar o problema, os mantenedores já lançaram patches que atualizam a dependência do decodificador para a versão corrigida do código‑fonte do Google. Usuários são orientados a aplicar as atualizações imediatamente e, quando possível, validar a integridade dos arquivos comprimidos antes da descompressão. Até o momento, não há relatos confirmados de exploração em produção, mas a natureza da vulnerabilidade permite que um atacante alcance controle total do processo, o que pode resultar em comprometimento de servidores, roubo de dados ou interrupção de serviços críticos. O alerta recomenda que organizações revisem seus inventários de software, priorizando a atualização de componentes que utilizam Brotli, e que implementem monitoramento de logs para identificar tentativas de descompressão de dados suspeitos. A informação foi originalmente publicada pelo The Hacker News, que citou os detalhes técnicos fornecidos pelos pesquisadores e pelos projetos de código aberto envolvidos.