Node.js, Python und andere Server: Fehler beim Entpacken von Daten erlaubt Angriffe

Brotli ist ein Verfahren, mit dem Webserver und Browser Daten komprimieren, damit Seiten schneller laden. Der Programmteil, der solche Daten wieder entpackt, enthält einen Fehler: Speziell präparierte Daten überschreiben Speicher, den das Programm gar nicht beschreiben dürfte. Die Folge kann ein Absturz sein, das Auslesen von Speicherinhalten oder im schlimmsten Fall das Ausführen von Code aus der Ferne. Eine Anmeldung braucht der Angreifer dafür nicht.

Zuerst wurde die Lücke am 21. Oktober in Node.js geschlossen, der Laufzeitumgebung hinter vielen modernen Webanwendungen und Online-Shops. Seit 23. Oktober ist klar, dass auch Python-Pakete, curl, Bun und Proxy-Software wie Envoy betroffen sind, wenn sie Brotli-Daten entpacken. Die Lücke ist inzwischen mit 9,2 von 10 Punkten als kritisch eingestuft.

Eine Ausnutzung bei echten Angriffen ist bisher nicht bekannt. Fachleute rechnen aber mit baldigen Scans, weil technische Details öffentlich sind. Klassische Webserver mit Apache oder nginx entpacken Brotli laut Fachmedien in der Grundeinstellung nicht.