Brotli-Sicherheitslücke CVE-2026-111497: Risiken und Updates

Eine Sicherheitslücke im Brotli-Decoder kann beim Entpacken manipulierter Daten den Speicher beschädigen. Updates stehen bereit. Ob eine Anwendung angreifbar ist, hängt von ihrer tatsächlichen Nutzung ab.

Was hinter der Brotli-Sicherheitslücke steckt

Brotli komprimiert Daten, um ihre Übertragung oder Speicherung platzsparender zu machen. Der Decoder übernimmt den umgekehrten Schritt: Er stellt die ursprünglichen Inhalte wieder her. Genau dabei liegt das Problem von CVE-2026-111497.

Ein speziell präparierter Datenstrom kann Schreibzugriffe außerhalb eines vorgesehenen Speicherbereichs auslösen. Mögliche Folgen sind ein Absturz, die Offenlegung von Speicherinhalten und unter bestimmten Bedingungen die Ausführung fremden Codes. Die Sicherheitsmeldung des Node.js-Projekts beschreibt diesen Fehler für die dort eingebettete Brotli-Bibliothek.

Golem berichtet über die Auswirkungen auf zahlreiche Anwendungen. Für die Praxis ist vor allem relevant, an welcher Stelle eine Anwendung fremde komprimierte Daten entpackt.

Welche Brotli-Versionen sind betroffen?

Die europäische Schwachstellendatenbank EUVD nennt folgende betroffene Versionsbereiche:

• Brotli 1.0.3 bis einschließlich 1.0.9
• Brotli 1.1.0
• Brotli 1.2.0

Die korrigierten Versionen sind 1.0.10, 1.1.1 und 1.2.1. Das Brotli-Projekt führt die Behebung von CVE-2026-111497 in den Versionshinweisen aller drei Releases auf.

Die Unterscheidung nach Versionszweigen ist wichtig: Die pauschale Aussage, sämtliche Versionen zwischen 1.0.3 und 1.2.0 seien verwundbar, würde auch bereits korrigierte ältere Zweige einschließen.

EUVD bewertet die Schwachstelle mit 9,2 Punkten nach CVSS 4.0 als kritisch. Dieser Wert beschreibt die technische Schwere. Ob eine konkrete Installation angreifbar ist, muss anhand ihrer Verwendung des Decoders geprüft werden.

Wann wird eine Anwendung angreifbar?

Voraussetzung ist, dass eine verwundbare Decoder-Version vom Angreifer kontrollierte Brotli-Daten entpackt. Das kann beispielsweise eine Anwendung sein, die komprimierte Inhalte von externen Quellen verarbeitet.

Das bloße Vorhandensein der Bibliothek beantwortet diese Frage noch nicht. Auch das Komprimieren eigener Dateien ist ein anderer Verarbeitungsschritt als das hier betroffene Dekomprimieren.

Zwei Beispiele zeigen, weshalb die Konfiguration zählt:

• Node.js: Das Projekt nennt die Verarbeitung manipulierter Brotli-Daten über node:zlib als Angriffspfad. Sicherheitsupdates stehen für die Versionsreihen 22.x, 24.x und 26.x bereit.
• .NET: Laut Microsofts Sicherheitshinweis entpacken ASP.NET Core und HttpClient in ihrer Standardkonfiguration Brotli-Daten nicht automatisch. Relevant wird die Lücke bei entsprechend aktivierter Dekompression oder direkter Nutzung der Brotli-APIs. .NET Framework ist laut Microsoft nicht betroffen.

Gerade in der Webentwicklung lohnt es sich deshalb, auch die Verarbeitung eingehender Antworten und hochgeladener Daten zu prüfen.

Was Entwickler und Betreiber jetzt prüfen sollten

Für die Softwareentwicklung ergibt sich daraus eine überschaubare Reihenfolge:

1. Abhängigkeiten erfassen: Welche Anwendungen, Laufzeiten und Container enthalten Brotli? Dabei auch indirekte und eingebettete Bibliotheken berücksichtigen.
2. Dekompression prüfen: Wo werden fremde Brotli-Daten entpackt? Öffentlich erreichbare Verarbeitungspfade sollten zuerst untersucht werden.
3. Passendes Sicherheitsupdate installieren: Bei einer eingebetteten Bibliothek das Update der jeweiligen Laufzeit oder Anwendung verwenden.
4. Neu ausliefern und kontrollieren: Betroffene Programme oder Container neu bauen beziehungsweise aktualisieren. Anschließend prüfen, welche Version im laufenden Betrieb tatsächlich verwendet wird.

Ein Update der systemweiten Brotli-Bibliothek ersetzt nicht automatisch eine Kopie, die ein Programm selbst mitliefert. Ebenso reicht eine aktualisierte Abhängigkeit im Entwicklungsprojekt erst dann aus, wenn die korrigierte Anwendung auch ausgeliefert wurde.

Hinweis: Falls ein Update noch nicht möglich ist, kann das vorübergehende Unterbinden der Verarbeitung fremder Brotli-Daten den betroffenen Angriffspfad schließen. Microsoft empfiehlt dies für betroffene .NET-Anwendungen als Zwischenmaßnahme. Änderungen an der Dekompression sollten vor der Auslieferung getestet werden, weil sie die Verarbeitung regulärer Anfragen und Antworten beeinflussen können.

Was die Lücke für Nutzer bedeutet

Wer Anwendungen lediglich verwendet, sollte verfügbare Sicherheitsupdates installieren. Eine separat aktualisierte Brotli-Installation ist kein allgemeiner Ersatz für ein Update der betroffenen App.

Für Betreiber bleibt die wichtigste Frage konkret: Welche laufende Komponente entpackt fremde Brotli-Daten, und enthält sie bereits den Fix? Damit lässt sich aus einer breit wirkenden Sicherheitsmeldung eine überprüfbare Aufgabe machen.