Node.js Brotli 압축 해제에서 잘못된 입력을 입력 부족으로 처리한 문제와 수정 내용(zenn.dev)

- Node.js는 Brotli 압축 데이터를 풀 때 내장 디코더를 쓴다. 이 디코더가 잘못 만들어진 입력을 받으면 내부 버퍼 바깥에 쓰는 문제가 있었고, 2026년 10월 21일 Node.js 보안 릴리스에서 CVE-2026-111497로 수정됐다. 영향 설명(충돌, 메모리 노출, 원격 코드 실행 가능성)은 Node.js 취약점 공지를 인용한 것이다. - 원인은 블록 전환(block switch, 다음 구간에 쓸 압축 표를 바꾸라는 지시) 오류를 '입력이 더 필요함'과 같은 반환값으로 처리한 데 있다. 공지 인용에 따르면 이 때문에 잘못된 데이터가 일시적 상태로 취급되어 내부 버퍼에 입력이 계속 쌓였다. - 입력이 충분한 unsafe 실행 경로에서는 같은 오류가 호출한 쪽으로 전달되지 않고 무시되었다. 수정은 반환형을 오류 코드 열거형으로 바꾸고 BROTLI_DECODER_ERROR_FORMAT_BLOCK_SWITCH 오류 코드를 새로 추가해, 두 경로 모두 오류 시 처리를 즉시 중단하도록 했다. - 수정의 핵심은 google/brotli 상류 커밋을 Node.js에 가져온 것이며, 이 글은 수정 커밋을 읽고 정리한 해설이다. 공격 경로와 실제 피해 범위는 원문에서 다루지 않는다.