Broccoli2Shell: Kritische Brotli-Lücke trifft weit mehr als Node.js
Der Schwachstelleneintrag wurde nachträglich korrigiert. Der Fehler steckt nicht in Node.js, sondern im Brotli-Decoder von Google selbst. Betroffen sind die Versionen 1.0.3 bis 1.2.0 auf allen Plattformen. Der Beiname „node2shell“ ist damit überholt, die Lücke heißt jetzt „Broccoli2Shell“ (CVE-2026-111497, CVSS4 9.2).
Was die Lücke ermöglicht
Es handelt sich um einen potenziellen Pufferüberlauf bei der Verarbeitung präparierter Brotli-Datenströme. Nicht authentifizierte Angreifer aus dem Netz können dadurch Fehler in der Speicherverwaltung auslösen.
Die Folgen reichen vom Auslesen sensibler Speicherbereiche über Denial of Service bis zur Einschleusung und Ausführung beliebigen Schadcodes. Proof-of-Concept-Exploits sind inzwischen teilweise öffentlich. Der Sicherheitsfirma Imperva gelang damit Codeausführung auf einem unveränderten Node.js-Build, allerdings erst nach mehreren Versuchen. Angriffe in freier Wildbahn sind bislang nicht bekannt.
Betroffene Software und gepatchte Versionen
Google hat die Lücke in den Brotli-Versionen 1.0.10, 1.1.1 und 1.2.1 geschlossen. Für Node.js stehen die fehlerbereinigten Fassungen 26.12.1, 24.22.1 und 22.23.4 bereit. In Python sind die Pakete „Brotli“ in Version 1.2.1 und „brotlicffi“ in Version 1.2.1.0 korrigiert.
Ebenfalls betroffen ist Software, die Brotli über C-Code-Bindings einbindet. Dazu zählen Java-JNI-Wrapper, PHP- und Ruby-Erweiterungen sowie Go-cgo-Bindings. Die Sicherheitsfirma Aikido nennt zusätzlich C++, Bun und Envoy. Microsoft verteilt seit dem 25. Oktober Updates für unterstützte .NET-Runtimes und SDKs.
Leichte Entwarnung gibt es für Apache und Nginx, die in Standardkonfigurationen kein Brotli dekodieren.
Was Admins jetzt tun sollten
Der Blick gehört auf die eingesetzten Bibliotheken, nicht nur auf die Laufzeitumgebung. Wichtig ist, ob Brotli-Daten von außen dekodiert werden, etwa in Proxys, Gateways oder Web-Servern.
Bis zum Update lässt sich das Brotli-Decoding abschalten. Aikido stellt dafür Handreichungen bereit, die Projektseite zu Broccoli2Shell führt anfällige und bereits korrigierte Versionen auf.
Auffällig ist die Vorgeschichte: Aikido zufolge entdeckte OpenAI den Fehler bereits im Februar. Die Korrektur im Quellcode galt damals jedoch nicht als Sicherheitsfix, eine bereinigte Version erschien erst jetzt.
Quellen
heise security: Brotli-Decoder-Lücke nicht nur in Node.js, sondern auch in Bun, Python und mehr (26.10.2026)
No responses yet