Google dicht kritiek lek in Brotli-bibliotheek: update Node.js nu

Google heeft een ernstig lek verholpen in de Brotli-decompressiebibliotheek. Die bibliotheek zit onder meer ingebakken in Node.js en wordt gebruikt om webverkeer te comprimeren en uit te pakken. Een aanvaller hoeft niet ingelogd te zijn: het aanbieden van slim geconstrueerde Brotli-data volstaat om het lek op afstand te raken. In het ergste geval kan dat leiden tot dienstuitval, het uitlezen van gevoelige gegevens uit het geheugen of zelfs het uitvoeren van willekeurige code met de rechten van het betreffende proces. (app.opencve.io)

Wat er precies misging

• Het lek is geregistreerd als CVE-2026-111497 en zit in de decoder van Brotli (bestand c/dec/decode.c). Het gaat om een out-of-bounds write: tijdens het uitpakken kan geheugen worden overschreven buiten de bedoelde grenzen. Daardoor zijn crashes, geheugenlekken en code-executie mogelijk. (app.opencve.io)
• Getroffen zijn Google Brotli-versies 1.0.3 t/m 1.2.0. Opgeloste versies zijn 1.0.10, 1.1.1 en 1.2.1. De kwetsbaarheid is door Google als kritisch beoordeeld (CVSS v4.0-basescore 9,2). (app.opencve.io)

Impact op Node.js

• Het Node.js-project bracht op woensdag 21 oktober 2026 beveiligingsreleases uit voor alle ondersteunde lijnen. De veilige versies zijn 22.23.4 (LTS), 24.22.1 (LTS) en 26.12.1 (Current). Deze releases bevatten de upstream-fix uit Google’s Brotli-project. (nodejs.org)
• Het NCSC kwalificeert de kans op misbruik als gemiddeld, maar de mogelijke schade als groot. In de praktijk ben je vooral kwetsbaar wanneer jouw toepassing Brotli-gecomprimeerde input van buitenaf uitpakt (bijvoorbeeld via Content-Encoding: br op uploads, via reverse proxies of bij het verwerken van door gebruikers aangeleverde bestanden). (ncsc.nl)

Waarom dit nu speelt
Brotli is wijdverspreid: het wordt gebruikt door browsers, webservers, CDN’s en runtime-omgevingen. Node.js heeft de decoder ingebouwd en pakt automatisch Brotli-gegevens uit wanneer jouw code of middleware dat vraagt. Daardoor kunnen veel applicaties kwetsbaar zijn zonder dat ze expliciet “Brotli” in hun package.json hebben staan. (nodejs.org)

Ben je (mogelijk) kwetsbaar?

• Gebruik je Node.js 22.x, 24.x of 26.x onder de drempel van bovengenoemde veilige versies? Dan moet je updaten. (csa.gov.sg)
• Link je direct tegen de Google Brotli-bibliotheek (bijvoorbeeld in native modules of eigen tooling)? Check de versie en update naar 1.0.10, 1.1.1 of 1.2.1. (app.opencve.io)
• Let op aanpalende platformen: sommige alternatieve runtimes moesten de upstream-fix nog overnemen. Controleer de adviezen van je leverancier. (github.com)

Wat moet je nu doen

• Update Node.js naar ten minste 22.23.4, 24.22.1 of 26.12.1 en herstart je processen. Plan dit zo snel mogelijk in; er is geen betrouwbare workaround binnen Node.js zelf. (nodejs.org)
• Als tijdelijke risicoreductie: vermijd het uitpakken van onbetrouwbare Brotli-input aan de rand van je platform (bijvoorbeeld in reverse proxies) en valideer bestandsformaten strikt voordat je ze decompresseert. Update desondanks alsnog. (thehackernews.com)
• Volg het advies van het NCSC en andere CERT’s en monitortools; hou in de gaten of jouw distributie of hostingplatform al gepatchte builds levert. (ncsc.nl)

Nog wat context
De Node.js-release van 21 oktober 2026 loste in totaal tien kwetsbaarheden op, waarvan vier als hoog werden ingeschaald. Naast de Brotli-bug zijn ook problemen in TLS-hostnamevalidatie en dns.resolve aangepakt. Het loont dus om sowieso naar de nieuwste patchrelease te gaan, ook als je denkt geen Brotli te gebruiken. (nodejs.org)

Kort samengevat

• Kritiek lek in Google’s Brotli-decoder (CVE-2026-111497) maakt DoS, datalekken en RCE mogelijk met speciaal gemaakte gecomprimeerde data. (app.opencve.io)
• Node.js heeft patches uitgebracht op 21 oktober 2026: 22.23.4, 24.22.1 en 26.12.1. Update direct. (nodejs.org)
• Het NCSC ziet de kans op misbruik als gemiddeld, maar de impact als groot. Handel proactief. (ncsc.nl)

Handige links voor je changelog of updateplanning staan in de beveiligingsmelding van Node.js en in de Nederlandse alert van het NCSC. (nodejs.org)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.