Sicherheitslücke im Brotli-Decoder betrifft zahlreiche Programmiersprachen

Si­cher­heits­for­scher haben eine Lücke im Brot­li-De­co­der ent­deckt, über die An­grei­fer po­ten­zi­ell Schad­co­de in be­trof­fe­ne An­wen­dun­gen ein­schleu­sen kön­nen1. Ur­sprüng­lich unter dem Namen „node2shell“ be­kannt ge­wor­den, zeig­te sich schnell, dass das Pro­blem weit über Node.js hin­aus­reicht und auch Lauf­zeit­um­ge­bun­gen wie Bun sowie die Pro­gram­mier­spra­che Py­thon be­trifft2. Da Brot­li als Kom­pres­si­ons­bi­blio­thek in un­zäh­li­gen Soft­wa­re­pro­duk­ten zum Ein­satz kommt, gilt die Reich­wei­te der Schwach­stel­le als be­son­ders groß1.

Golem.de warnt, dass Ent­wick­ler drin­gend han­deln müs­sen, um ihre An­wen­dun­gen ab­zu­si­chern, da die Lücke in der weit ver­brei­te­ten FFm­peg-Um­ge­bung eben­falls eine Rolle spielt1. heise on­line rät Ad­mi­nis­tra­to­ren, die be­trof­fe­nen Sys­te­me zügig zu ak­tu­a­li­sie­ren, um An­grif­fe zu ver­hin­dern2.

Die brei­te Ver­brei­tung von Brot­li in mo­der­nen Soft­wa­re­stacks macht deut­lich, wie Schwach­stel­len in ge­mein­sam ge­nutz­ten Bi­blio­the­ken ganze Öko­sys­te­me ge­fähr­den kön­nen. Be­trof­fe­ne Pro­jek­te müs­sen nun ei­gen­stän­dig Pat­ches be­reit­stel­len, da die Lücke nicht zen­tral über eine ein­zel­ne Platt­form be­ho­ben wer­den kann12.