Une vulnérabilité critique, CVE-2026-111497, a été identifiée dans la bibliothèque de compression Brotli de Google. Cette vulnérabilité affecte le décodeur Brotli et pourrait permettre à un attaquant distant non authentifié de provoquer une corruption de mémoire via un flux compressé au format Brotli spécialement conçu à cet effet. Une exploitation réussie pourrait entraîner une divulgation de mémoire, un déni de service (DoS) ou l'exécution de code arbitraire dans les implémentations concernées. Les récentes recommandations du fournisseur Node.js identifient spécifiquement l'exécution de code à distance comme une conséquence possible dans les environnements Node.js impactés.

La vulnérabilité est causée par une écriture hors limites dans la gestion du commutateur de type de bloc du décodeur Brotli, au sein du fichier c/dec/decode.c. L'exploitation se produit lorsqu'une application traite des données compressées au format Brotli contrôlées par un attaquant.

Brotli étant couramment utilisé dans les applications web modernes, les serveurs web, les API, les proxys, les CDN et les frameworks logiciels, l’impact potentiel s’étend au-delà des applications utilisant directement la bibliothèque Brotli. Plusieurs éditeurs ont déjà publié des avis de sécurité et commencé à déployer des mises à jour pour les produits concernés.

Les organisations ne doivent pas considérer cette vulnérabilité comme n'affectant que des déploiements de niche. La compression Brotli est devenue un composant courant de l’infrastructure web moderne et est fréquemment intégrée dans les frameworks d’applications, les API, les proxys inversés, les services de diffusion de contenu et les environnements d’exécution logiciels. De nombreuses organisations pourraient donc être affectées indirectement par le biais de dépendances intégrées, plutôt que par l’utilisation directe de la bibliothèque Brotli elle-même.

Au 28 octobre 2026, des rapports publics font état d’une exploitation active et d’un ajout au catalogue KEV de la CISA signalé le 27 octobre, bien qu’aucune confirmation directe de cette entrée dans le catalogue n’ait pu être obtenue au moment de cette analyse. Il existe des preuves de concept (PoC) publiques de corruption de mémoire et de déni de service (DoS), ainsi que des allégations d’exécution de code à distance (RCE), maisaucun exploit RCE public fiable et vérifié de manière indépendanten’ a été établi par les sources examinées. Cependant, la vulnérabilité reste importante en raison de sa surface d’attaque accessible depuis le réseau et de l’adoption généralisée de la compression Brotli.

Composants concernés

  • Produit : Google Brotli
  • Composant : Décodeur Brotli (c/dec/decode.c)
  • Versions concernées :
    • Brotli 1.0.3–1.0.9, 1.1.0 et 1.2.0 (à l’exception des versions corrigées répertoriées ci-dessous)
  • Versions corrigées :
    • 1.0.10
    • 1.1.1
    • 1.2.1
  • Les logiciels potentiellement concernés peuvent inclure :
  • Les serveurs Web prenant en charge la décompression Brotli
  • Proxys inversés et passerelles
  • Services API traitant du contenu Brotli
  • Les applications Node.js utilisant des décodeurs Brotli vulnérables : versions prises en charge 22.x antérieures à la version 22.23.4, 24.x antérieures à la version 24.22.1 et 26.x antérieures à la version 26.12.1 ; effectuez la mise à jour vers ces versions corrigées ou vers des versions corrigées ultérieures de la même série
  • Applications Microsoft .NET décodant des données Brotli non fiables ; Microsoft répertorie les correctifs dans les versions .NET 8.0.33, 9.0.22, 10.0.14 et 11.0.0-rc.3.26522.148 pour les paquets concernés
  • Applications et bibliothèques qui décompressent automatiquement du contenu Brotli provenant de sources non fiables
 

Détails techniques

CVE-2026-111497 est une vulnérabilité d'écriture hors limites affectant le décodeur Brotli de Google. La faille réside dans la gestion par le décodeur de la logique de changement de type de bloc et peut être déclenchée par le traitement d'un flux compressé au format Brotli spécialement conçu.

Une exploitation réussie pourrait permettre à un attaquant de :

  • corrompre la mémoire adjacente
  • Divulguer le contenu sensible de la mémoire
  • Provoquer des plantages d'applications ou une interruption de service
  • Exécuter potentiellement du code arbitraire dans certaines circonstances

L'exploitation nécessite qu'une application décompresse des données Brotli contrôlées par l'attaquant à l'aide d'un décodeur vulnérable ; la simple prise en charge de la compression Brotli n'implique pas pour autant que la vulnérabilité puisse être exploitée.

Voici quelques exemples :

  • un trafic HTTP utilisant Content-Encoding: br
  • des requêtes ou réponses API contenant du contenu compressé au format Brotli
  • Les applications utilisant directement des bibliothèques de décompression Brotli
  • Des frameworks qui traitent automatiquement les données d'entrée compressées au format Brotli

Gravité et exploitation

  • Score CVSS : 9,2 (Critique) – CVSS v4.0 (Google/CNA) ; Node.js classe cette vulnérabilité comme « Élevée ». Red Hat la classe quant à lui comme « Importante », avec un score CVSS v3.1 de 8,1 (Élevée)
  • Vecteur d'attaque : réseau
  • Privilèges requis : Aucun
  • Interaction avec l'utilisateur : Aucune

Cette vulnérabilité est particulièrement préoccupante car :

  • L'exploitation peut être effectuée à distance via le réseau
  • Aucune authentification n'est requise
  • Aucune interaction de l'utilisateur n'est requise
  • Les vulnérabilités liées à la corruption de mémoire peuvent être difficiles à détecter
  • La compression Brotli est largement déployée dans les applications et services modernes
  • Node.js a publiquement décrit cette vulnérabilité comme permettant l'exécution de code à distance dans les environnements affectés

Cependant, les rapports disponibles indiquent également que l’exploitation nécessite que la cible traite des données Brotli contrôlées par l’attaquant. Le dépôt public syrex1013/node2shell décrit un chemin menant à une corruption de mémoire ou à un déni de service (DoS) à l’aide d’un module complémentaire de laboratoire ; les chemins d’exécution de code à distance (RCE) qu’il documente reposent également sur l’injection ou l’évaluation de commandes dans une application distincte. Ces affirmations ne permettent pas d’établir l’existence d’un exploit RCE public fiable et vérifié de manière indépendante pour la seule faille Brotli.

Activité malveillante

Un rapport public daté du 28 octobre 2026 indique que la CISA a ajouté le CVE-2026-111497 à son catalogue des vulnérabilités connues pour lesquelles il existe des exploits le 27 octobre, en citant des preuves d’une exploitation active. Aucune confirmation directe de cette entrée n’était disponible lors de cette analyse. L’ampleur de l’exploitation en milieu réel reste incertaine.

Cette vulnérabilité pourrait faire l’objet d’une attention accrue de la part des acteurs malveillants pour les raisons suivantes :

  • Son niveau de gravité « critique »
  • du déploiement généralisé des applications prenant en charge Brotli
  • La surface d'attaque à distance
  • Les risques potentiels de divulgation de mémoire et d'exécution de code

Les organisations doivent partir du principe que les systèmes vulnérables accessibles depuis Internet et traitant du contenu compressé au format Brotli pourraient être ciblés suite à la divulgation publique de cette vulnérabilité.

Conséquences pour les organisations

Les organisations doivent identifier les applications, les services et les composants d'infrastructure qui utilisent la fonctionnalité de décompression Brotli, soit directement, soit via des bibliothèques intégrées.

Contrairement aux vulnérabilités nécessitant un accès local ou une compromission préalable, la vulnérabilité CVE-2026-111497 peut être exploitée à distance lorsqu'une application vulnérable traite du contenu malveillant compressé au format Brotli. Selon le produit concerné et le scénario de déploiement, une exploitation réussie pourrait entraîner la divulgation d'informations, une interruption de service ou, potentiellement, l'exécution de code arbitraire.

Compte tenu de l’omniprésence de Brotli dans les écosystèmes Web modernes, les organisations ne doivent pas partir du principe que seules les applications activant explicitement Brotli sont concernées. Les dépendances et les bibliothèques intégrées doivent également être examinées.

Mesures d'atténuation recommandées

 

Appliquer les mises à jour des éditeurs

  • Identifier les produits utilisant la fonctionnalité de décompression Brotli
  • Mettre à niveau les bibliothèques Brotli vulnérables vers les versions corrigées recommandées par les éditeurs, y compris les paquets système rétroportés par les éditeurs, le cas échéant
  • Donner la priorité aux applications et services exposés à Internet, ainsi qu’aux clients qui décodent des réponses Brotli non fiables
  • Appliquer les correctifs des éditeurs dès qu'ils sont disponibles pour les produits concernés

Inventaire des dépendances

  • Examiner les données de la nomenclature logicielle (SBOM) lorsqu'elles sont disponibles
  • Identifier les dépendances directes et indirectes liées à l'utilisation de Brotli
  • Examiner les bibliothèques Brotli intégrées aux applications tierces

Examiner les services accessibles via Internet

  • Identifier les applications qui traitent du contenu compressé avec Brotli
  • Examiner les points de terminaison API exposés
  • Évaluer les proxys inversés et les passerelles Web prenant en charge la décompression Brotli

Surveiller les comportements anormaux

  • Enquêter sur les plantages inattendus des applications
  • Examiner les journaux à la recherche de requêtes Brotli mal formées
  • Surveiller l'instabilité du service après le traitement du contenu compressé

Suivre les avis des éditeurs

  • Consultez les avis de sécurité publiés par les éditeurs d'applications
  • Suivre les mises à jour des logiciels intégrant Brotli
  • Vérifiez l'état de la mise en œuvre des mesures correctives sur l'ensemble des actifs gérés

Résumé des risques

CVE-2026-111497 est une vulnérabilité critique de corruption de mémoire affectant le décodeur Google Brotli. Cette faille peut être exploitée à distance via du contenu spécialement conçu et compressé au format Brotli, et peut entraîner une divulgation de mémoire, un déni de service ou, potentiellement, l'exécution de code arbitraire.

Bien que l’ampleur de l’exploitation active signalée reste incertaine et qu’aucun exploit RCE public fiable et vérifié de manière indépendanten’ ait été établi par les sources examinées, l’utilisation généralisée de la compression Brotli dans les applications et services web augmente considérablement l’exposition potentielle des environnements concernés. Les organisations doivent identifier les systèmes impactés et appliquer en priorité les mises à jour recommandées par les éditeurs.

Si l’une des menaces décrites dans ce bulletin vous préoccupe ou si vous avez besoin d’aide pour déterminer les mesures à prendre afin de vous protéger contre les menaces les plus importantes auxquelles votre organisation est confrontée, veuillez contacter votre chargé de compte ou nous contacter pour savoir comment protéger votre organisation.

 

Contactez-nous