לוח אלקטרוני ומעבד – המחשה לחולשת פענוח Brotli

צילום: Ivan Chumak / Pexels

חולשת Brotli מאיימת על Node.js ו-Lambda: מה לעדכן עכשיו

·אוקטובר 29, 2026

חולשה בספריית הפענוח Brotli עלולה לאפשר הרצת קוד מרחוק או קריאת זיכרון מתהליך פגיע, ו-AWS פרסמה הנחיות מפורטות לשירותים ולסביבות שהלקוחות מנהלים בעצמם. החולשה, CVE-2026-111497, נובעת מגלישת חוצץ בעת פענוח קלט Brotli שנבנה במיוחד. AWS מדרגת את העדכון כחשוב ומדגישה שהבעיה אינה מוגבלת ל-Node.js בלבד, אף שהיא טופלה לראשונה במסגרת עדכוני האבטחה של Node.js לאוקטובר 2026.

מה הסיכון בפועל?

Brotli הוא פורמט דחיסה נפוץ בתעבורת ווב ובספריות תוכנה. כאשר יישום פגיע מפענח מידע דחוס שיצר תוקף, כתיבה מחוץ לגבולות הזיכרון עלולה לגרום להשחתת זיכרון, לחשיפת מידע מתוך התהליך ובתרחישים מסוימים להרצת קוד. ב-Amazon Linux החולשה קיבלה ציון CVSS של 8.1 וסיווג Important.

הנקודה החשובה לצוותי IT היא שהימצאות Node.js מעודכן אינה תמיד מספיקה. יש לבדוק גם Images, שכבות Lambda, ספריות שמצורפות עצמאית ליישום, Containers וספריות Brotli שמגיעות כתלות עקיפה.

מי צריך לפעול ב-AWS?

Lambda עם Node.js 22, 24 או 26: עבור Images יש לבנות מחדש ולפרוס מה-Base Image המעודכן. בחבילות ZIP העדכון נפרס בשלבים; לאחר השלמת Phase 1 באזור הרלוונטי נדרש שינוי אמיתי בקוד או בתצורה כדי לקבל את ה-Runtime המתוקן. עדכון ללא שינוי אינו מספיק.
Lambda על Node.js 18 או 20: גרסאות אלה הוצאו מתמיכה ואינן מקבלות עדכוני אבטחה. ההמלצה היא לעבור לגרסה נתמכת.
App Runner: ה-Runtime המנוהל עודכן בכל האזורים, אך שירות שלא נפרס מאז 26 באוקטובר צריך פריסה מחדש. אם הוגדרה גרסה ישנה במפורש, יש לעדכן תחילה את ה-Pin.
CodeBuild: Images מעודכנים נפרסים עד 30 באוקטובר. Images שמוצמדים לגרסה או Digest דורשים עדכון יזום, ו-Custom Images צריכים להיבנות מחדש.
Elastic Beanstalk: יש לוודא שימוש ב-Platform 6.11.12 ומעלה, או להחיל את העדכון דרך Managed Updates.
EC2, ECS ו-EKS בניהול הלקוח: האחריות לעדכון היא של הארגון. AWS ממליצה על Node.js 22.23.4, 24.22.1 או 26.12.1 ומעלה.

איך מאמתים שהעדכון הגיע?

ב-Lambda אפשר לבדוק את שורת INIT_START ב-CloudWatch Logs. AWS מציינת גרסאות Patch מינימליות ל-Runtime, ובהן nodejs:22.mainline.v157 ומעלה או nodejs:24.mainline.v114 ומעלה. בסביבות Linux מומלץ לבדוק גם את גרסת חבילת brotli במערכת, ולא להסתפק בגרסת Node.js שמציג process.version.

הגנת ביניים עם AWS WAF

אם אי אפשר לעדכן מיד, אפשר ליצור כלל WAF שחוסם בקשות נכנסות עם הכותרת Content-Encoding: br. זו הגנה חלקית בלבד: היא אינה מכסה מידע Brotli שמגיע מתשובות של שירותי Upstream, והיא עלולה לחסום גם תעבורה לגיטימית. AWS ממליצה להתחיל במצב Count, לבדוק התאמות ב-CloudWatch ורק לאחר אימות לעבור ל-Block.