Brotli 漏洞修復程式自二月起未發佈。Node.js、Python 和 Envoy 正逐一修補

Brotli 解碼器漏洞構成重大風險，因為未經身份驗證的攻擊者可以遠端利用它。OpenAI 指出，該漏洞影響接受壓縮輸入的未修補伺服器以及接收壓縮輸入的未修補客戶端，突顯了記憶體損壞、數據洩露、程序崩潰或遠端程式碼執行方面的廣泛攻擊面。

儘管根本原因已於二月在 Brotli 原始碼中解決，但其安全相關性最初並未被理解，直到 Google 於週三發佈更新的 Brotli 版本，才出現包含此修復程式的公開版本。這種情況使得各種軟件專案，包括 Node.js、Python、Bun、Envoy 和 Istio，這些專案通常嵌入自己的解碼器副本，需要發佈自己的獨立修補程式。

組織現在必須識別並更新其系統中所有 Brotli 解碼器的實例。Node.js 已在版本 22.23.4、24.22.1 和 26.12.1 中發佈了修復程式。Python 套件，例如 `Brotli` 和 `brotlicffi`，需要更新到版本 1.2.1.0。對於無法立即修補的環境，臨時緩解措施包括配置系統以在 Brotli 壓縮輸入到達任何解碼器之前拒絕它，這是一種需要仔細實施才能生效的策略。