brotli-cve-check

Durchsucht ein Projekt oder Container-Image nach CVE-2026-111497, einem Pufferüberlauf im Brotli-Decoder. Es bewertet die Kritikalität als Critical, High oder Medium und listet die Schritte zur Behebung auf.

Das Repo enthält zwei Komponenten:

• Skript (skills/brotli-cve-check/scripts/brotli_check.py): führt den eigentlichen Scan, die Bewertung und die Behebung durch. Es benötigt nur Python 3.11+ und keine Abhängigkeiten, sodass es auch in CI läuft.
• Skill (skills/brotli-cve-check/SKILL.md): ein KI-Agent führt das Skript aus, liest deine k8s-, Terraform-, Compose-Dateien und README, um zu ermitteln, wie exponiert das System ist, und führt das Skript dann erneut mit dieser Exposition aus.

Installation

Claude Code Plugin

/plugin marketplace add Apaonum/brotli-cve-check
/plugin install brotli-cve-check@brotli-cve-check

Um neue Versionen zu erhalten, führe /plugin marketplace update brotli-cve-check aus.

Jeder Agent (Claude Code, Cursor, Codex, Copilot, ...) über die Skills-CLI

npx skills add Apaonum/brotli-cve-check

Manuell

git clone https://github.com/Apaonum/brotli-cve-check
ln -s "$PWD/brotli-cve-check/skills/brotli-cve-check" ~/.claude/skills/brotli-cve-check

Verwendung

Wenn der Skill installiert ist, bitte deinen Agenten: „Prüfe dieses Projekt auf die Brotli-CVE“.

Um das Skript direkt auszuführen:

python3 skills/brotli-cve-check/scripts/brotli_check.py <project> \
  [--exposure internet|internal|none] \
  [--python <venv>/bin/python] \
  [--image <image>] \
  [--json]

--exposure	Kritikalität	Frist	Wann
internet	Critical	24 Stunden	Nimmt Anfragen aus dem Internet entgegen, ruft Partner- oder Drittanbieter-APIs auf oder lädt von Benutzern bereitgestellte URLs ab
internal	High	7 Tage	Nimmt Daten von anderen Systemen oder Partnern über ein internes Netzwerk oder VPN entgegen oder verarbeitet personenbezogene Kundendaten
none	Medium	≤ 30 Tage	Build-/CI-Images, Entwicklermaschinen, Batch-Jobs, die nur interne Daten lesen
(weggelassen)	Critical	24 Stunden	Die Exposition ist unbekannt, daher nimmt das Tool die höhere Stufe an

Exit-Codes: 0 sauber, 1 anfällig oder Überprüfung erforderlich, 2 Scanfehler.

Was geprüft wird

• requirements*.txt, pyproject.toml, poetry.lock, uv.lock, Pipfile.lock: Brotli 1.0.3–1.2.0 (außer den Backport-Fixes 1.0.10 und 1.1.1) und brotlicffi < 1.2.1.0
• Dockerfile: Basis-Images auf Debian unstable (sid) und Basis-Images, die nicht per Digest gepinnt sind
• --image: führt den Container aus und prüft libbrotli1 mit dpkg --compare-versions (bookworm benötigt ≥ 1.0.9-2+deb12u1, trixie benötigt ≥ 1.1.0-2+deb13u1). Es prüft außerdem die Python-Pakete im Image und führt trivy aus, falls installiert. Benötigt docker.
• --python: prüft die tatsächlich in diesem Interpreter installierten Pakete

CI-Beispiel

- run: python3 skills/brotli-cve-check/scripts/brotli_check.py . --exposure internet --json

Test

python3 skills/brotli-cve-check/scripts/test_brotli_check.py

Einschränkungen

• Auf anderen Distributionen (Ubuntu, RHEL, Alpine) meldet --image die installierte Version und markiert sie als „verify“. Vergleiche diese Version mit dem Sicherheits-Tracker der jeweiligen Distribution.
• Wenn ein Projekt ein Dockerfile hat, aber --image nicht übergeben wird, lautet das Ergebnis „needs verification“, da der Scan die OS-Bibliothek im Image nie sieht.

Lizenz

MIT