Brotli 漏洞修复程序自二月起未发布。Node.js、Python 和 Envoy 正逐一修补

Brotli 解码器漏洞构成重大风险，因为未经身份验证的攻击者可以远程利用它。OpenAI 指出，该漏洞影响接受压缩输入的未修补服务器以及接收压缩输入的未修补客户端，突显了内存损坏、数据泄露、进程崩溃或远程代码执行方面的广泛攻击面。

尽管根本原因已于二月在 Brotli 源代码中解决，但其安全相关性最初并未被理解，直到 Google 于周三发布更新的 Brotli 版本，才出现包含此修复程序的公开版本。这种情况使得各种软件项目，包括 Node.js、Python、Bun、Envoy 和 Istio，这些项目通常嵌入自己的解码器副本，需要发布自己的独立修补程序。

组织现在必须识别并更新其系统中所有 Brotli 解码器的实例。Node.js 已在版本 22.23.4、24.22.1 和 26.12.1 中发布了修复程序。Python 软件包，例如 `Brotli` 和 `brotlicffi`，需要更新到版本 1.2.1.0。对于无法立即修补的环境，临时缓解措施包括配置系统以在 Brotli 压缩输入到达任何解码器之前拒绝它，这是一种需要仔细实施才能生效的策略。