Une faille critique dans Brotli, la bibliothèque de compression open source maintenue par Google et intégrée à Node.js, peut permettre à des attaquants de corrompre la mémoire et d'exécuter leur propre code sur les systèmes concernés. La vulnérabilité est suivie sous la référence CVE-2026-111497 et a reçu plusieurs surnoms, dont HTTP2Shell, Node2Shell et Broccoli2Shell, car les chercheurs l'ont d'abord découverte dans Node.js avant de constater que le même défaut du décodeur touche d'autres écosystèmes.
Les correctifs d'urgence sont déjà déployés. Microsoft a publié dimanche une mise à jour de sécurité d'urgence pour .NET, avertissant qu'une exploitation réussie permet une élévation de privilèges sur les systèmes exécutant une version vulnérable. Node.js et Google ont publié des correctifs stables le 21 octobre, la divulgation publique suivant le 22 octobre, selon BleepingComputer. Des exploits de démonstration existent, mais aucune attaque réelle n'a été signalée à ce jour.
Faille Brotli : comment fonctionne HTTP2Shell ?
Le défaut est un débordement de tampon. Un flux compressé en Brotli et spécialement conçu déclenche un changement de bloc invalide que le décodeur interprète à tort comme une demande d'entrée supplémentaire. Node.js explique dans son avis que le décodeur en flux continue alors d'ajouter des octets d'entrée à un tampon interne de huit octets, dépassant ses limites et corrompant la mémoire voisine.
Il suffit qu'une application décompresse des données malveillantes. Cela peut se produire en servant une réponse HTTP compressée à une application qui récupère une URL, ou en envoyant une requête compressée directement à un serveur. La faille est baptisée HTTP2Shell en raison de son impact sur les clients et serveurs HTTP, mais elle ne se limite pas à HTTP/2, et la société de cybersécurité Imperva a confirmé que son exploitation peut mener à l'exécution de code à distance.
- Versions de Brotli touchées : 1.0.3 à 1.0.9, 1.1.0 et 1.2.0
