LONDON (IT BOLTWISE) – Sicherheitsforscher zeigen, dass manipulierte Brotli-Daten auf einem offiziellen Node.js-Build Codeausführung auslösen können. Der Auslöser steckt im eingebundenen Brotli-Decoder und betrifft Node.js 22.x, 24.x und 26.x. Node.js hat die Lücke am 21. Oktober offengelegt und mit der Version 24.22.1 behoben. Update ist besonders wichtig, wenn Container-Images oder andere Build-Artefakte Node enthalten und ohne Neubereitstellung weiterlaufen.
In der Node.js-Welt ist der Brotli-Decoder ein unscheinbarer Baustein, der im Alltag aber ständig im Datenpfad auftaucht: Antwortdaten werden komprimiert, Requests kommen ebenfalls komprimiert, und je nach Framework landet das Ganze direkt im eingebetteten Decoder. Genau hier setzen Sicherheitsforscher an und berichten über eine Remote Code Execution, die sich über speziell präparierte Brotli-Daten erreichen lässt. Laut den Demonstrationsdaten gelang die Codeausführung auf dem offiziellen Linux-arm64-Image von Node.js 24.22.0, ohne Debugger und ohne benutzerdefinierten Build. Der technische Kern ist dabei nicht ein exotischer Zusatz, sondern der von Node.js mitgelieferte Brotli-Decoder, der einen Fehler beim Umgang mit einer „unmöglichen“ Stream-Übergangssituation ausnutzt.
Die Schwachstelle wird als CVE-2026-111497 geführt. Node.js habe die Ursache offengelegt und Fixes veröffentlicht, nachdem die Forschenden den Fehler im gepackten Brotli-Decoder identifiziert hatten. Für Betroffene ist entscheidend, dass die demonstrierte Ausnutzung nicht zwingend bei jedem Versuch sofort „durchläuft“: Im arm64-Setup der Forscher brauchte die Ausführung offenbar mehrere Anläufe. Gleichzeitig unterstreicht der Vergleich zwischen 24.22.0 und dem gepatchten 24.22.1 die Wirksamkeit des Fixes: Auf dem Release mit Patch wies der Decoder die gleichen präparierten Daten zurück, und es kam zu keiner Codeausführung. Allerdings weist die Demonstration auch Grenzen aus; sie deckt konkret nur genau die getestete Build- und Anwendungsumgebung ab. Andere Architekturvarianten sowie die 22.x- und 26.x-Linien wurden nicht in jeder Detailausprägung „durchgetestet“, auch wenn die betroffene Komponente in den genannten Versionen enthalten ist.
Wo liegt die Angriffsfläche in der Praxis? Der zentrale Punkt: Die Lücke sitzt im Brotli-Decoder, den Node.js als Teil der Standard-Bausteine mitbringt. Damit sind nicht nur bestimmte einzelne Containerbilder betroffen, sondern prinzipiell Anwendungen, die Brotli-Daten entpacken, sobald diese über HTTP in die Anwendung hineinreichen. Zwei Wege sind dabei typisch: Erstens kann ein Dienst Brotli-komprimierte Antworten über Node.js’ eigene HTTP-Client-Funktionalität (etwa über den eingebauten fetch-Mechanismus) entpacken. Zweitens decodiert Middleware häufig Brotli-komprimierte Request-Bodies, bevor sie an die eigentliche Route übergeben werden. Für viele Teams ist dabei besonders relevant, dass Express 5 die Brotli-Request-Body-Dekodierung explizit unterstützt, wenn Body-Parser-Utilities wie express.json(), express.urlencoded(), express.text() und express.raw() auf eine Route angewendet werden. Ein „nackter“ Node.js HTTP-Server dekodiert Brotli-Request-Bodies dagegen nicht automatisch nur dadurch, dass ein Request eingeht; hier braucht es die richtige Middleware oder einen expliziten Decoding-Aufruf.
Die Forscher beschreiben den technischen Ablauf als Kette aus zwei Eigenschaften des Brotli-Streams: Während der Decoder verarbeitet, kündigt der Stream die Blocktypen an, die im weiteren Verlauf verwendet werden sollen. Der bereitgestellte Teststrom erreicht jedoch einen Blockwechsel, der durch die eigene Stream-Struktur unmöglich ist. Der Decoder interpretiert diese Abweichung dann als Hinweis, dass weitere Eingabedaten nötig seien, und setzt die Verarbeitung in einem ungültigen Zustand fort. In einer ergänzenden Analyse mit einem Speicher-Sanitizer zeigte sich, dass das Fortsetzen aus diesem Zustand heraus einen Out-of-Bounds-Write hinter dem eigentlichen Fehler nach sich ziehen kann. Node.js soll den Fix umgesetzt haben, indem ein Upstream-Patch in den Decoder integriert wurde, der den Betrieb bei dieser Formatabweichung als Formatfehler stoppt, statt weiterzuerkennen.
Für die Absicherung bleibt deshalb vor allem ein operativer Schritt: auf eine gepatchte Node.js-Version wechseln. Node.js habe die Korrektur in der Folgeversion 24.22.1 bereitgestellt; wer aus Sicherheits- und Compliance-Gründen weiterhin auf ungewartete Linien setzt, muss prüfen, ob die jeweilige Linie durch den Fix versorgt wird. Der Hinweis in den begleitenden Empfehlungen ist dabei klar: Container-Images und andere Artefakte, die einen Node-Binary „mitbringen“, müssen ebenfalls neu gebaut oder aktualisiert werden. Ein Update im Paketmanager allein kann also ins Leere laufen, wenn die Runtime in einer bestehenden Image-Schicht unverändert bleibt. Wichtige Hinweise fehlen gleichzeitig nicht: Für diese Lücke nennt das Advisory keinen sinnvollen Workaround innerhalb der Node.js-Runtime. Praktisch bedeutet das, dass „nicht sofort deployen“ oft nicht mit einer rein lokalen Konfigurationsmaßnahme gleichzusetzen ist. Wo Update-Zyklen kritisch sind, empfehlen die Forscher, untrusted Brotli-Traffic auf betroffene Pfade zu begrenzen, sofern sich das im konkreten Dienstdesign umsetzen lässt; die wirksame Beseitigung bleibt aber das Patchen.
Auch im Betrieb großer Plattformen ist die Reaktionskette nachvollziehbar: Laut den Angaben habe ein Anbieter mit eigener Node-Ausführungsumgebung (Vercel) Regeln eingeführt, die den Angriff in eingehenden Requests blockieren. Diese Abwehr deckt jedoch nicht alles ab: Sie betrifft nicht Brotli-Antworten, die eine Anwendung von anderen Servern bezieht, und ersetzt damit weder das grundsätzliche Patchen noch die saubere Absicherung der Dekodierpfade. Für Teams heißt das, die eigene Anwendung nicht nur auf „direkte“ Request-Handling-Punkte zu prüfen, sondern auch auf indirekte Datenflüsse, etwa durch Middleware-Ketten oder Fetch-basierte Antwortverarbeitung. Besonders bei „gepinnter“ Abhängigkeit von Body-Parser-Versionen (die in der Demonstration untersucht wurden) lohnt ein Blick auf die tatsächliche Brotli-Nutzung im Produktivbetrieb. Die Schwachstelle zeigt damit eindrücklich, wie schnell eine vermeintliche Transportdetailschicht wie Kompression in Richtung Codepfad kippen kann, wenn ein Decoder mit untrusted Daten konfrontiert wird.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Node.js RCE über Brotli: Sicherheitslücke in gepackten Build-Images behebt" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Node.js RCE über Brotli: Sicherheitslücke in gepackten Build-Images behebt" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Node.js RCE über Brotli: Sicherheitslücke in gepackten Build-Images behebt« bei Google Deutschland suchen, bei Bing oder Google News!