Kwetsbaarheid in Google Brotli-decoder in Node.js: update nu

Er is een kwetsbaarheid (CVE-2026-111497) gevonden in de Brotli-decompressiebibliotheek van Google, die o.a. wordt gebruikt in Node.js. Het Nationaal Cyber Security Centrum (NCSC) beoordeelt de kans op misbruik als ‘gemiddeld’, maar de mogelijke schade als ‘groot’. Het advies is om de nieuwste beveiligingsupdates zo snel mogelijk te installeren.

Brotli verkleint de bestandsgrootte van webpagina's voordat een webserver ze naar een webbrowser stuurt. Node.js is software waarmee JavaScript op servers draait, bijvoorbeeld voor websites en applicaties. Het bevat de Brotli-bibliotheek om gegevens te verkleinen en uit te pakken.

Hoe kan de kwetsbaarheid worden misbruikt?

Een aanvaller kan zonder toegang op afstand misbruik maken van deze kwetsbaarheid door speciaal gemaakte gecomprimeerde gegevens te sturen. Hierdoor kan het systeem tijdelijk onbruikbaar worden. De aanvaller kan gevoelige informatie uit het geheugen van het programma halen, of zelfs eigen schadelijke programma's laten uitvoeren met dezelfde rechten als het getroffen programma.

Als deze kwetsbaarheid niet wordt aangepakt, kan een aanvaller het systeem laten vastlopen, gevoelige gegevens stelen of het systeem overnemen. Dit kan leiden tot verlies van gegevens en verstoring van de dienstverlening. Op dit moment is geen bewijs van actief misbruik bekend.