Критическая уязвимость с идентификатором CVE-2026-111497, обнаруженная в алгоритме сжатия данных Brotli от Google, оказалась значительно масштабнее первоначальных ожиданий. Ошибка затрагивает широкий спектр платформ для веб-разработки и облачной инфраструктуры, включая Node.js, Bun, библиотеки Python, прокси-сервер Envoy и платформу управления трафиком Istio. Проблема возникла из-за ошибки переполнения буфера в декодере: при обработке некорректных сжатых блоков программа продолжает записывать данные за пределы выделенной памяти размером восемь байт.
Это позволяет злоумышленникам без авторизации вызвать сбой работы сервера, получить доступ к содержимому памяти или выполнить произвольный код. Для реализации атаки достаточно направить вредоносный поток данных в приложение, использующее уязвимый декодер, например, при обработке входящих HTTP-запросов или ответов сторонних серверов.
