Skip to content
Sign in Sign up
JA EN FR
SecPulse
A detailed explainer is available in Japanese. Read the Japanese explainer
Critical 9.2

Google Brotli、細工データでコード実行の恐れ 修正版あり

GHSA-9v8h-qqgm-4m35 First seen on SecPulse

Summary

圧縮形式 Brotli の解凍処理(デコーダー)に、細工された圧縮データでメモリを壊せる弱点が見つかりました。認証なしでネットワーク越しに狙われる可能性があり、情報漏えい、サービス停止、任意のコード実行に至るおそれがあります。1.0.10、1.1.1、1.2.1 のいずれかへ更新し、Brotli を組み込んだ製品も含めて棚卸しをしてください。

AI summary

Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.

圧縮形式 Brotli の解凍処理(デコーダー)に、細工された圧縮データでメモリを壊せる弱点が見つかりました。認証なしでネットワーク越しに狙われる可能性があり、情報漏えい、サービス停止、任意のコード実行に至るおそれがあります。1.0.10、1.1.1、1.2.1 のいずれかへ更新し、Brotli を組み込んだ製品も含めて棚卸しをしてください。

Affected packages

EcosystemPackageAffectedFixed
Google Brotli
≥ 1.0.3, < 1.0.10
≥ 1.1.0, < 1.1.1
≥ 1.2.0, < 1.2.1
1.0.10
1.1.1
1.2.1
Bitnami node
< 22.23.4
≥ 23.0.0, < 24.22.1
≥ 26.0.0, < 26.12.1
22.23.4
24.22.1
26.12.1
Bitnami node-min
< 22.23.4
≥ 23.0.0, < 24.22.1
≥ 26.0.0, < 26.12.1
22.23.4
24.22.1
26.12.1
PyPI brotlicffi
≥ 1.0.3, < 1.2.1.0
1.2.1.0
PyPI brotli
≥ 1.0.3, < 1.2.1
1.2.1
pip brotli
< 1.2.1
1.2.1
pip brotlicffi
< 1.2.1.0
1.2.1.0

Fix status by distribution

Fixed packages published by each distribution for this CVE

Original description The description as published by the source.

A buffer overflow vulnerability in the Brotli decoder (c/dec/decode.c) in Google Brotli versions 1.0.3 through 1.2.0 on all platforms allows a remote unauthenticated attacker to corrupt adjacent decoder state memory, disclose sensitive memory contents, cause a denial of service, or potentially execute arbitrary code using a crafted Brotli-compressed stream.

Users need to update any Brotli libraries or binaries between 1.0.3 through 1.2.0 to the latest available version: 1.0.10 or 1.1.1 or 1.2.1.

Source: Node.js Security Releases NVD GitHub Advisory

References

We use cookies for analytics and ad measurement. This setting applies to all Game co., Ltd. sites. Details