治理与安全🔥8.0
Google Brotli 压缩库曝出严重漏洞 CVE-2026-111497，影响面从 Node.js 扩大
📋总体概括
Google 的 Brotli 压缩库被曝出严重漏洞 CVE-2026-111497，最初因通过 Node.js 的利用路径被命名为「Node2Shell」，后随影响面扩大演变为「HTTP2Shell」。漏洞根源在 Brotli C 解码器的 DecodeBlockTypeAndLength() 函数返回值语义混淆：调用方无法区分输入耗尽与数据流非法两种状态，攻击者可构造特制 Brotli 数据流触发漏洞。该案例再次说明底层压缩库的安全缺陷会沿调用链向上传导，波及大量上层应用与网络协议栈。
⚡关键信息
- ▸Google Brotli 压缩库曝出严重漏洞，编号 CVE-2026-111497
- ▸漏洞最初因 Node.js 利用路径被称「Node2Shell」，后因影响面扩大改名「HTTP2Shell」
- ▸根源是 C 解码器 DecodeBlockTypeAndLength() 返回值语义混淆，无法区分输入耗尽与数据非法
- ▸攻击者可通过构造特制 Brotli 数据流实施利用
🔥犀利点评
C 库里一个返回值语义不清的细节，最终能从 Node.js 一路烧到 HTTP/2 层面，这就是基础库的杠杆效应。Brotli 被嵌入无数语言运行时和服务里，大家只管调用从不过问边界条件，漏洞出现时谁也跑不掉。真正该反思的不是这个 CVE 本身，而是关键基础库缺少系统性安全审计的行业惯性。
📰 相关资讯（与本文相关的其他资讯）
本文由本站自动聚合，以下为原始来源：前往 微博-数据库关键词 阅读全文 →