פגיעות בפענוח Brotli מאפשרת RCE: משפיעה על Node.js, Bun ו-Python
אמ;לק
חולשת השחתת זיכרון במפענח ה-Brotli של גוגל מאפשרת ביצוע קוד מרחוק (RCE) במגוון רחב של פלטפורמות, בהן Node.js, Bun, ספריות Python ושרתי Envoy. הפגיעות נובעת מכתיבה מעבר לגבולות החוצץ בעת פריסת מידע דחוס שעבר מניפולציה זדונית. מפתחים נדרשים לשדרג באופן מיידי את סביבות הריצה וספריות התלויות המושפעות.
סיכום בעברית: מערכת VibeSec · מדיניות המקורות
נוסף ל-VibeSec:
כותרת מקורית: Brotli Decoder Flaw Behind Node.js RCE Also Affects Bun, Python and Other Widely Used Software
התוכן המלא בעברית
תרגום אוטומטי מהמקור; מונחים טכניים נשארו באנגלית. לנוסח המחייב — הכתבה המקורית.
פגם של שחיתות זיכרון במפענח ה-Brotli של Google קיים בתוכנות רבות המבצעות פריסה (unpack) של נתונים דחוסים בפורמט Brotli, ביניהן Bun, ה-.NET של Microsoft, חבילות ה-Python Brotli ו-brotlicffi, ושרתי Envoy Proxy שהוגדרו לבצע דחיסה ופריסה של Brotli.
הפגם, המקוטלג כ-CVE-2026-111497, מאפשר לנתונים דחוסים שעוצבו במיוחד לבצע כתיבה מעבר לגבולות הזיכרון המוקצה (buffer overflow) ולגרום לשחיתות בזיכרון של התוכנית.
קריאה וכלים קשורים
אבטחת Node.js / JS / TS- Bearer — SAST עם התמקדות בפרטיות ו-PII
- CodeQL — מנוע ניתוח סטטי של GitHub
- Dependabot — עדכונים אוטומטיים לתלויות פגיעות
- עדכון כלי בקרת הקוד markdownlint-cli
- הקוד נוצר ב-10 שניות, הבדיקה לקחה 3 ימים: למה צריך ארכיטקטורה בקוד של AI
- הכירו את HTTP2Shell: סיכון אבטחה בטכנולוגיית הדחיסה Brotli