Node.js : la faille Brotli « node2shell » corrigée dans trois branches maintenues

Les versions de sécurité Node.js du 21 octobre corrigent CVE-2026-111497, une écriture hors limites dans le décodeur Brotli. Le projet la classe high, soit une gravité élevée. Red Hat a consacré un avis à cette faille, surnommée « node2shell », le 26 octobre.

Crédit : Node.js — bulletin de sécurité du 21 octobre 2026. Provenance (ouvre nodejs.org dans un nouvel onglet)Aller vers nodejs.org.

Des données compressées malformées peuvent corrompre la mémoire

Le bulletin de Node.js (ouvre nodejs.org dans un nouvel onglet)Aller vers nodejs.org décrit une mauvaise gestion d’une erreur de format : le décodeur continue d’attendre des données et peut écrire au-delà d’un tampon interne de huit octets. Une application qui décompresse les données Brotli fournies par un attaquant via node:zlib peut subir une corruption mémoire.

Les conséquences possibles sont un plantage, une divulgation de mémoire ou une exécution de code à distance. Ces impacts potentiels ne signifient pas que chaque application Node.js soit exposée de la même façon. Le bulletin indique que les branches 22.x, 24.x et 26.x sont concernées.

Les conditions d’exposition comptent

L’avis Red Hat RHSB-2026-015 (ouvre access.redhat.com dans un nouvel onglet)Aller vers access.redhat.com classe le sujet « Important », avec un score CVSS v3.1 de 8,1. Il précise que l’exploitation nécessite une entrée spécialement construite et une application qui la décompresse. Les environnements sans décompression de données Brotli non fiables ne sont pas exposés en pratique par ce chemin.

L’éditeur cite notamment des runtimes, navigateurs ou services intégrant la bibliothèque concernée. La présence d’un nom de produit ne suffit donc pas à déterminer l’état d’une installation : version, paquet, protections et chemin de données doivent être examinés ensemble. Le bulletin mentionne aussi une complexité d’attaque élevée et le rôle des protections mémoire.

Trois versions de sécurité publiées

Les notes de publication confirment le correctif Brotli dans Node.js 22.23.4 (ouvre nodejs.org dans un nouvel onglet)Aller vers nodejs.org, 24.22.1 (ouvre nodejs.org dans un nouvel onglet)Aller vers nodejs.org et 26.12.1 (ouvre nodejs.org dans un nouvel onglet)Aller vers nodejs.org. Les trois publications sont datées du 21 octobre et identifient la CVE parmi leurs changements de sécurité.

Pour une application installée via une distribution ou une image de conteneur, il faut également suivre l’avis du fournisseur du paquet. Ce point complète notre suivi de la faille TCP du noyau Linux et des correctifs GitLab. Les noms des failles et leurs scores aident au tri ; les versions réellement déployées déterminent ensuite les vérifications nécessaires.