Brotli Decoder Flaw Behind Node.js RCE Also Affects Bun, Python and Other Widely Used Software

Un fallo de co­rrup­ción de me­mo­ria en el de­co­di­fi­ca­dor de Brotli de Goo­gle afec­ta a múl­ti­ples pro­gra­mas en­car­ga­dos de des­com­pri­mir datos con este for­ma­to, in­clu­yen­do Bun, cier­tos pa­que­tes de Python y pro­xies Envoy. Esta vul­ne­ra­bi­li­dad per­mi­te que in­for­ma­ción com­pri­mi­da y ma­ni­pu­la­da so­bres­cri­ba los lí­mi­tes de un búfer, lo que puede pro­vo­car un blo­queo, fugas de me­mo­ria o la eje­cu­ción de có­di­go con­tro­la­do por un ata­can­te.

Di­ver­sos pro­gra­mas que­dan ex­pues­tos úni­ca­men­te si pro­ce­san datos com­pri­mi­dos pro­ve­nien­tes de fuen­tes que no son de con­fian­za, como ocu­rre con cier­tas fun­cio­nes de lec­tu­ra en Node.js y Bun, con­fi­gu­ra­cio­nes es­pe­cí­fi­cas de Envoy e Istio, o la sim­ple pre­sen­cia de de­ter­mi­na­dos pa­que­tes en Python que des­com­pri­men res­pues­tas de forma au­to­má­ti­ca. Aun­que Goo­gle y Node.js im­ple­men­ta­ron co­rrec­cio­nes, cada soft­wa­re afec­ta­do debe ac­tua­li­zar su pro­pia copia del de­co­di­fi­ca­dor, ya que el error re­si­de en el có­di­go en len­gua­je C que pro­ce­sa los flu­jos de Brotli.

Hasta el mo­men­to no se han re­gis­tra­do ata­ques en es­ce­na­rios reales ni ex­plo­ta­ción ac­ti­va en la na­tu­ra­le­za, y las va­lo­ra­cio­nes sobre su gra­ve­dad va­rían según la en­ti­dad que la ca­li­fi­que, si­tuán­do­se entre alta y crí­ti­ca. Para mi­ti­gar el ries­go mien­tras no se apli­quen las ac­tua­li­za­cio­nes co­rres­pon­dien­tes, se re­co­mien­da de­te­ner la de­co­di­fi­ca­ción de datos no con­fia­bles me­dian­te di­ver­sas ac­cio­nes es­pe­cí­fi­cas para cada en­torno, dado que las so­lu­cio­nes tem­po­ra­les como al­te­rar las ca­be­ce­ras de pe­ti­cio­nes no son su­fi­cien­tes por sí solas.