Brotli 解码器越界写漏洞波及 PyPI,Python2Shell 概念现成利用
banteg · x · 2026-10-24
- GitHub 公开 critical 级安全通告：Google Brotli 解码器（c/dec/decode.c）在 1.0.3–1.2.0 版本存在缓冲区越界写入漏洞（CVE-2026-111497），远程未认证攻击者可用特制 Brotli 压缩流破坏解码器内存、泄露敏感内容、造成拒绝服务，甚至可能执行任意代码。
- 此前 Node.js 10 月安全公告已确认该漏洞影响 Node（被称为 "Node2Shell"），现在确认 PyPI 的 brotli 与 brotlicffi 包同样受影响。
- 受影响版本：brotli >= 1.0.3 且 < 1.2.1、brotlicffi >= 1.0.3 且 < 1.2.1.0；修复版本为 brotli 1.2.1、brotlicffi 1.2.1.0（Google 上游也发布了 1.0.10 与 1.1.1 修复版）。用户应立即升级所有 1.0.3–1.2.0 之间的 Brotli 库或二进制文件。
- 配图演示了在研究机器上通过该漏洞获得 root（uid=0）执行环境的效果。
所属事件:Brotli 解码器越界写漏洞波及 Python 生态(2 条相关)→
「安全」频道最新
- 前 DOGE 员工创办的 Cathedral 自称 12 小时攻入 Anthropic — AlexTensor · 2026-10-26
- 前 DOGE 网络研究员用 AI 代理 12 小时内攻入 Anthropic 内部系统 — ScottNover · 2026-10-26
- 英国 Ofcom 承认在线安全法未能保护儿童，推进九个月遭批 — gnukeith · 2026-10-26
- Sakana AI 社长伊藤炼提议：日美共建 AI 能力评估共同框架 — SakanaAILabs · 2026-10-26
- Gary Marcus 呼吁立法禁用语音克隆:诈骗危害远大于收益 — GaryMarcus · 2026-10-26
- PyTorch backward 可运行图灵完备恶意代码：浮点精度漏洞被实锤 — retr0jirachi · 2026-10-26