CYBERWAR

通告

Google Brotli 解码器越界写 CVE-2026-111497（CVSS 9.2）：可致远程代码执行，波及 Bun、Envoy 与 PyPI 等捆绑组件

Google Brotli 原文、Envoy 原文、Bun 原文 · 2026年10月23日

Google Brotli 项目于 10 月 21 日发布 1.2.1（并同步 1.0.10、1.1.1 修复线），披露 CVE-2026-111497：解码器在处理特制压缩流时可发生越界写，远程未认证攻击者可能导致内存损坏、信息泄露、拒绝服务或远程代码执行；受影响版本为 1.0.3 至 1.2.0（不含已回修的 1.0.10/1.1.1）。OpenAI 安全研究称在红队演练中发现该问题并通知上游与下游；Envoy 于 10 月 23 日发布 GHSA，称启用 Brotli 解压的 v1.39.2/1.38.5/1.37.7/1.36.11 受影响，已在 1.40.0 及对应补丁线修复；Bun 同日发布 GHSA，称 1.4.3 及更早捆绑受影响 Brotli，已于 1.4.4 升至 1.2.1，并提示 fetch 默认解压 br 与编译产物需重建。该根因亦曾出现在 Node.js 10 月 21 日紧急安全更新中，但影响面不限于单一运行时。

跟你的关系凡捆绑或调用 Brotli 解压的服务（反向代理、边缘、语言运行时、Python 包与自研客户端）应升至固定版本或关闭对不可信输入的 br 解压，并重建含旧 Brotli 的镜像与静态编译产物。

状态

已公开

行业

信息技术、专业服务、电信

可信度

高

可信度标为高：已经打开的独立调查报告不止一份。

查看全部 · 返回首页