Node.js 22、24、26 系列 Brotli 漏洞修補版釋出

Node.js 專案已釋出修補版本，修復可能導致遠端程式碼執行的 Brotli 解碼器漏洞 CVE-2026-111497。受影響的 22、24、26 系列，應分別更新至 22.23.4、24.22.1、26.12.1 或更新版本。

Node.js 專案在 21 日發布的安全公告中，將 OpenAI Codex Security 研究員 Kai Tran 與 Sylvie Meyer 列為漏洞發現者。漏洞出在 Node.js 內建的 Brotli 解碼器。處理惡意製作的壓縮資料，可能造成服務阻斷、記憶體損毀或遠端程式碼執行。

Brotli 是用於資料壓縮與傳輸的技術。即使使用了有漏洞的 Node.js，若服務不會解壓縮外部收到的 Brotli 資料，攻擊內容便不會進入解碼器。會讀取外部伺服器壓縮回應，或透過設定的中介軟體解壓縮傳入請求本文的服務，則應檢查相關處理流程。

資安公司 Imperva 於 22 日公布的重現實驗指出，研究人員向 Node.js 24.22.0 官方 Linux arm64 映像檔傳送經加工的 Brotli 資料後，確認可執行程式碼；相同輸入在修補版本 24.22.1 中則遭拒。實驗涵蓋使用 Node.js 內建 fetch() 讀取壓縮回應，以及由 Express 5、body-parser 2 解壓縮請求本文的設定。

Imperva 的實驗是在特定作業環境與應用程式設定下進行，且成功前需要多次嘗試。一般 Node.js 伺服器也不會只因收到請求，就自動解壓縮 Brotli 本文。Imperva 說明，漏洞不在 Express 或 body-parser 本身，而是在它們可能呼叫的 Node.js 解碼器。

Node.js 專案列出的修補版本為 22.23.4、24.22.1、26.12.1。GitHub 安全公告也將 Python 套件 Brotli 1.0.3 以上、未滿 1.2.1，以及 brotlicffi 1.0.3 以上、未滿 1.2.1.0 列入影響範圍。兩個套件的修補版本分別為 1.2.1 與 1.2.1.0。

本報先前已報導 Node.js 專案此次安全更新與 Brotli 漏洞。修補版釋出不代表已部署至實際服務。管理者應在部署環境中確認作業系統安裝的函式庫，以及應用程式和容器映像檔所包含的 Node.js、Brotli 版本。