Skip to content
Hacker Posts

Décodeur Brotli : la faille critique CVE-2026-111497 se propage chez les éditeurs

CVE-2026-111497, écriture hors limites dans le décodeur Brotli (CVSS 9.2), touche Node.js et déclenche des avis CERT-FR pour VMware et Mitel. Corrigée en Brotli 1.0.10/1.1.1/1.2.1.

Publié le 3 min de lecture
cvebrotlisupply-chainnodejsvmware

Une écriture hors limites dans le décodeur de Brotli, la bibliothèque de compression de Google embarquée un peu partout, vaut à CVE-2026-111497 un score CVSS v4.0 de 9.2 (critique). Un attaquant distant non authentifié peut, avec une entrée Brotli malformée, corrompre la mémoire du décodeur, divulguer du contenu mémoire, provoquer un déni de service ou potentiellement exécuter du code. Le 6 novembre, le CERT-FR a publié deux avis distincts — pour les produits VMware et Mitel — qui pointent tous les deux vers cette même CVE. C'est la signature d'une faille de chaîne d'approvisionnement : une bibliothèque, puis une cascade d'avis éditeurs.

Ce qui est touché

La faille se situe dans c/dec/decode.c, dans Brotli 1.0.3 à 1.2.0 (toutes plateformes). Elle est corrigée en amont dans 1.0.10, 1.1.1 et 1.2.1, selon la branche.

Comme Brotli est lié par d'innombrables logiciels, l'impact ne s'arrête pas à la bibliothèque :

  • Node.js embarque Brotli. Le projet a livré le correctif dans ses mises à jour de sécurité du 21 octobre 2026, sévérité High : versions 22.23.4, 24.22.1 et 26.12.1. Node.js décrit l'écriture au-delà d'un tampon interne de 8 octets pouvant mener à un crash, à une fuite mémoire ou à une exécution de code.
  • Le portage Go andybalholm/brotli est corrigé en v1.2.7.
  • Côté éditeurs, le CERT-FR renvoie aux bulletins Broadcom 39445 (VMware) et MISA-2026-0010 (Mitel). Reportez-vous à ces bulletins pour les versions exactes de produits concernées.

État de l'exploitation

Aucun des avis consultés ne fait état d'exploitation active ni ne publie d'IOC. La gravité tient à la surface : tout service qui décompresse du Brotli reçu d'un tiers — réponses HTTP, formats de fichiers, flux applicatifs — est une cible potentielle, sans authentification préalable.

Que faire

  1. Mettre à jour Brotli vers 1.0.10, 1.1.1 ou 1.2.1 selon la branche déployée.
  2. Node.js : passer en 22.23.4, 24.22.1 ou 26.12.1.
  3. Go : porter andybalholm/brotli en v1.2.7.
  4. Recompiler et redéployer les applications qui lient Brotli en statique — corriger le paquet système ne suffit pas si une copie est embarquée dans le binaire.
  5. Appliquer les bulletins éditeurs Broadcom 39445 et MISA-2026-0010, puis inventorier les dépendances transitives à Brotli dans votre parc.

Contexte

Le schéma est connu : une faille dans une brique de bas niveau (ici la décompression) oblige chaque logiciel qui l'embarque à publier son propre correctif, à son propre rythme. Le travail n'est pas de patcher « Brotli » une fois, mais de retrouver toutes les copies — système, runtime, binaires statiques, images conteneurs — et le CVSS 9.2 justifie d'y consacrer le temps. Les avis VMware et Mitel du 6 novembre ne sont probablement que les premiers d'une série.

Articles liés