Egy tömörítő, amiről nem tudtad, hogy használod

Mi történt

Ismered a matrjoskát? Kinyitod a nagy babát, benne ott egy kisebb, abban egy még kisebb, a végén pedig egy egészen apró, amit elsőre észre sem veszel. A mai szoftverek pont ilyenek. A weboldalad egy keretrendszerben fut, az egy futtatókörnyezetben, abban pedig ott lapul egy csomó apró, beépített könyvtár. Most az egyik legbelső baba repedt meg.

Ezt a babát Brotlinak hívják. A Google nyílt forrású tömörítőkönyvtára, a web egyik alapvető tömörítése a gzip mellett: amikor a böngésző és a szerver összecsomagolva küld adatot, sokszor ezt használják. A kibontást végző részében, a dekóderben határon túli írási hibát (out-of-bounds write) találtak, ez a CVE-2026-111497. Magyarul: egy szándékosan elrontott tömörített adatfolyam kibontás közben a program egy belső memóriaterületén túlra írhat. A következmény összeomlás, memóriaszivárgás, és bizonyos körülmények között akár távoli kódfuttatás. A sajtó több néven emlegeti: Node2Shell, HTTP2Shell, a kutatók egy része tréfásan Broccoli2Shellnek hívja.

A javított Brotli-verziók (1.0.10, 1.1.1 és 1.2.1) 2026. október 21-én jelentek meg. És itt kezdődik az igazi történet. Mivel rengeteg szoftver saját példányt épít be a könyvtárból, egy hét alatt sorra jöttek a soron kívüli javítások: október 21-én a Node.js, október 22–23-án a Python Brotli-csomagjai, a Bun, az Envoy és az Istio, október 25-én, egy vasárnap, a Microsoft a .NET 8, 9 és 10, a Visual Studio és a PowerShell javításával. A PHP pedig október 26. körül öt napon belül másodszor építette újra a Windows-csomagjait, alig néhány nappal a PHP2Shell-javítások után.

Ami engem a leginkább megfogott: a gyökérokot javító módosítás a beszámolók szerint már 2026 februárjában bekerült a Brotli forráskódjába. Csak akkor senki nem jelölte biztonsági hibának, és kiadás sem készült belőle. A hibát végül az OpenAI Codex Security csapata jelentette, a Node.js nekik tulajdonítja a felfedezést.

Mennyire kell aggódni? Vadonbeli támadásról 2026. október 23-ig nem érkezett jelentés, és a hiba a CISA kihasznált sebezhetőségeket gyűjtő katalógusában (KEV) sem szerepelt. Nyilvános koncepcióbizonyíték (PoC, vagyis működő demókód) viszont van, és az Imperva kutatói egy hivatalos Node.js-buildön kódfuttatást is bemutattak, igaz, nem minden próbálkozásra. A súlyosság vitatott: a pontszámok 8,1 és 9,2 között szórnak, és a legvalószínűbb hatás a szolgáltatásmegtagadás, vagyis hogy leáll a szolgáltatásod.

Miért számít neked

Ha a cégednek van weboldala, webshopja vagy API-ja, és Node.js, .NET, PHP (Windows alatt) vagy Python fut alatta, a Brotli jó eséllyel ott van benne. Akkor is, ha a kódotokban sehol nem szerepel ez a szó: elég, ha egy HTTP-kliens automatikusan kibontja a tömörített választ, vagy ha a csomag egy másik csomag függőségeként, úgynevezett tranzitív függőségként települt.

A csapda az, hogy a szokásos rutin itt nem elég. Ha a rendszer Brotliját frissíted, az nem javítja a saját példányt beépítő alkalmazásokat. És fordítva: a frissített csomag sem véd, amíg a futó folyamatot újra nem indítod, vagy a konténerképet újra nem építed.

Magyar érintettség nem ismert, és hazai hatósági figyelmeztetést a kutatás idején nem találtunk. Mivel sok hazai webes szolgáltatás .NET-en vagy Node.js-en fut, valószínű, hogy itthon is sokakat érint, de erről konkrét adat nincs.

Red // támadói szemmel

A tömörítés lényege, hogy kicsi adatból a kibontó nagy adatot állít elő. Vagyis megbízik abban, amit a csomag magáról állít. Én pont erre építek.

A nyilvános elemzések szerint a dekóder egyik része ugyanúgy jelezte a „hibás adat” és a „kell még adat” helyzetet, és egy gyors ágon nem nézte meg, melyikről van szó. Egy szándékosan elrontott csomaggal így rávehető, hogy egy kis belső tárolóba tovább pakoljon, mint amennyi belefér. A javítás egyszerű: hibás formátumnál most kemény hibával megáll.

Két ajtón jöhetek be. Befelé: tömörített kéréstörzset küldök a szerverednek, és a keretrendszer automatikusan kibontja. Kifelé: a te alkalmazásod tölt le valamit egy idegen szerverről (webhook, linkelőnézet, crawler, API-hívás), és a HTTP-kliens szorgalmasan kibontja a válaszomat. Ezt az utat jobban szeretem, mert ezt a tűzfalad és a webes alkalmazástűzfalad (WAF) nem látja. Az sem véd, ha a kéréseidből kiveszed a Brotli-támogatás jelzését: a szerver attól még küldhet tömörített választ.

A legkényelmesebb nekem az, hogy a „Brotli” szó a kódodban sehol nem szerepel, így eszedbe sem jut keresni. Bevallom: kódfuttatásig eljutni nehéz, a modern memóriavédelmek ezt megnehezítik. A szolgáltatásod leállításához viszont az összeomlás is elég.

Blue // mit tegyél most

Kisvállalkozás, külsős IT- vagy tárhelypartnerrel

Kérdezd meg még ma a partneredet: fut-e Node.js, .NET, PHP (Windows) vagy Python a weboldalad, webshopod alatt, és frissítették-e 2026. október 21. után.
Kérd, hogy a frissítés után a szolgáltatásokat indítsa is újra, és ha konténerben futnak, építse újra a képeket.
Ha Windows alatt PHP-t futtatsz, cseréld a csomagot a „-1” végű buildre (például 8.5.12-1), és ellenőrizd a letöltött fájl SHA-256 ellenőrzőösszegét a php.net letöltési oldalán. A PHP verziókiírása ugyanazt mutatja, abból nem látod.
Ha a Node.js-ed 20-as, 23-as vagy 25-ös, ezek már nem kapnak javítást: tervezd a váltást a 22-es, 24-es vagy 26-os ágra.

Saját IT-val, fejlesztőcsapattal

Készíts leltárt arról, hol van Brotli a környezetedben: futtatókörnyezetek, csomagok, lockfájlok (a pontos függőségverziókat rögzítő fájlok), konténerképek, CI-, build- és fejlesztői gépek, beépített példányok. Ne csak a sebezhetőség-szkennerre hagyatkozz: a beszámolók szerint egyes eszközök eleinte nem jelezték megbízhatóan az érintett Python-csomagverziókat.
Priorizálj az elérhetőség szerint: előbb azokat a szolgáltatásokat frissítsd, amelyek idegen URL-eket töltenek le, vagy Brotli-tömörített kéréstörzset fogadnak.
Frissíts, építs újra, indíts újra: Node.js 22.23.4 / 24.22.1 / 26.12.1, .NET 8.0.33 / 9.0.22 / 10.0.14, Python Brotli 1.2.1 és brotlicffi 1.2.1.0. Utána ellenőrizd, hogy a futó bináris valóban a javított.
Ha nem tudsz azonnal frissíteni: utasítsd el a Brotli-tömörített kéréstörzseket a proxyn, a terheléselosztón vagy a WAF-on, kapcsold ki az automatikus Brotli-kibontást, Pythonban pedig távolítsd el a Brotli-csomagot (a kliensek ilyenkor gzipre váltanak).
Figyeld a jeleket: webes Node.js- vagy .NET-folyamatok ismételt összeomlása, a webes folyamat alatt induló parancsértelmező (shell), váratlan kimenő kapcsolat.

Szakmabelieknek: technikai részletek

CVE: CVE-2026-111497, határon túli írás a Brotli C-dekóder blokktípus-váltást kezelő részében. Érintett: Brotli 1.0.3–1.2.0; javítva: 1.0.10, 1.1.1, 1.2.1.
Pontszámok: Google CVSS 4.0: 9,2 (kritikus); Red Hat CVSS 3.1: 8,1 (AV:N/AC:H/PR:N/UI:N); Microsoft CVSS 3.1: 8,1, „Exploitation More Likely”; Node.js: „High”.
Javított verziók: Node.js 22.23.4, 24.22.1, 26.12.1 (a 20/23/25 életciklus végi, javítás nélkül); .NET 8.0.33, 9.0.22, 10.0.14, 11 RC3; PHP Windows 8.5.12-1, 8.4.27-1, 8.3.36-1, 8.2.35-1; Python Brotli 1.2.1, brotlicffi 1.2.1.0; Bun 1.4.4; Envoy 1.36.12, 1.37.8, 1.38.6, 1.39.3, 1.40.0; Istio 1.29.9, 1.30.6, 1.31.2; Go andybalholm/brotli v1.2.7.
Elérési utak: Node.js zlib, a beépített fetch automatikus kibontása, Express 5 törzsfeldolgozás; ASP.NET Core request decompression és HttpClient automatikus kibontás (alapból kikapcsolva); PHP cURL, ha az automatikus kibontás be van kapcsolva; Python urllib3/requests, httpx, aiohttp, ha a csomag telepítve van.
Linux: a Node.js és a .NET egyes változatai a rendszer Brotliját, mások a beépítettet használják; a disztribúció saját közleménye a mérvadó (backportolt verziószámok).
Még javítatlan a nyilvános tracker szerint (október 26.): többek közt DuckDB, Apache Arrow, 7-Zip-zstd, p7zip, EDK II.
ATT&CK (szerkesztői leképezés): T1190, T1499, T1059, T1105, T1552.
Észlelés: maga a túlírás nem látszik; a kihasználás utáni viselkedést figyeld (összeomlás után programindítás ugyanabban a munkaterhelésben, shell a webes folyamat alatt, váratlan kimenő kapcsolat), valamint a szokatlan végpontokra érkező Brotli-tömörített kéréseket.
Indikátorok: hivatalos IOC-lista nem ismert. Hivatalos ajánlások: Microsoft .NET-biztonsági közlemény (dotnet/announcements #494), Red Hat RHSB-2026-015, Node.js 2026. októberi biztonsági kiadás, PHP Windows-letöltési oldal.

Péter // a főnök megjegyzése

Egy ilyen esetben az első és egyben legfontosabb, hogy kellő sebességgel fel tudjuk mérni az érintettségünket. Amíg nem tudjuk, hol van nálunk a hibás alkatrész, addig sem a frissítés sorrendjét, sem a kockázatot nem tudjuk jól meghatározni.

Az ilyen szintű ellátási lánc problémáknál azonban ez a szokásosnál is nehezebb lehet, hiszen egyszerűen nem lehetünk abban 100%-ig biztosak, hogy melyik komponensünk melyik buildje használja az aktuális problémát hordozó sérülékenységet. A Brotli-eset ezt szinte tankönyvszerűen mutatja. A könyvtár a kódban sokszor név szerint sem szerepel, csak egy HTTP-kliens húzza be csendben, vagy egy másik csomag függőségeként érkezik. A PHP javított Windows-csomagja ugyanazt a verziószámot mutatja, mint a régi, csak a fájlnév végén ott a „-1”. Egyes szkennerek eleinte az érintett Python-csomagokat sem jelezték megbízhatóan. A rendszerkönyvtár frissítése pedig semmit nem mond arról, hogy a saját példányt hordozó alkalmazások rendben vannak-e.

Azt meg pláne nehéz belőni, hogy mekkora a valós kockázat, amit a szervezet fut. Ebben most még a szakma sem egységes: a pontszámok 8,1 és 9,2 között szórnak, a kódfuttatást csak nehezen és nem megbízhatóan sikerült bemutatni, a legvalószínűbb hatás a szolgáltatás leállása. Hogy ez nálunk mit jelent, az azon múlik, melyik szolgáltatásunk fogad tömörített kérést, és melyik tölt le adatot idegen szerverről. Ezt pedig megint csak akkor tudjuk megmondani, ha tudjuk, hol van nálunk az a bizonyos alkatrész.

A kérdés tehát, amivel zárnék: ha holnap reggel egy hasonló hír érkezik, mennyi idő alatt tudnád megmondani, hol lapul a ti rendszereitekben a legbelső baba?

Háttéranyag szakmabelieknek

A teljes kutatás egy PDF-ben

Idővonal, szereplők, hogyan működik a támadás, teendők célcsoportonként, szakmai részletek és forrásértékelés. Egy helyen, nyomtatható formában, továbbküldhetően.

PDF · 8 oldal · 237 KB · kutatási változat v1

PDF megnyitása (magyar) English version (PDF)

Mi történt

Miért számít neked

A teljes kutatás egy PDF-ben

Források