Una build ufficiale di Node.js cede al Brotli, ma non sempre
Imperva ha dimostrato l’esecuzione di codice su una build ufficiale di Node.js 24.22.0 per Linux arm64: la prova supera i test precedenti, limitati a una build alterata. Il risultato è stato intermittente e ha richiesto vari tentativi; non sono stati riportati attacchi in corso.
La falla, CVE-2026-111497, è nel decoder Brotli. Un flusso costruito ad arte lo porta a un cambio di blocco che la struttura stessa dei dati dichiara impossibile. Il decoder gestisce male la contraddizione, corrompe la memoria e può lasciare all’attaccante il controllo del processo, con i privilegi di quest’ultimo.
Il rischio riguarda i servizi Node.js 22.x, 24.x e 26.x che decodificano dati Brotli non attendibili. Può bastare un middleware di Express 5 che decomprime il corpo di una richiesta prima di interpretarlo come JSON; anche fetch() può decodificare risposte compresse. Node.js 24.22.1 respinge lo stesso input, ma la dimostrazione ha riguardato una sola build e non chiarisce l’affidabilità dell’exploit sulle altre architetture o le versioni corrette di tutte le linee. Un decoder Brotli distribuito separatamente può inoltre restare esposto anche dopo l’aggiornamento del runtime.