brotli-cve-check

किसी प्रोजेक्ट या कंटेनर इमेज को CVE-2026-111497 के लिए स्कैन करता है, जो Brotli डिकोडर में एक बफ़र ओवरफ़्लो है। यह गंभीरता को Critical, High, या Medium के रूप में रेट करता है और इसे ठीक करने के चरणों की सूची देता है।

रेपो में दो भाग हैं:

• स्क्रिप्ट (skills/brotli-cve-check/scripts/brotli_check.py): वास्तविक स्कैन, रेटिंग, और उपचार करती है। इसे केवल Python 3.11+ चाहिए और कोई डिपेंडेंसी नहीं, इसलिए यह CI में भी चलती है।
• स्किल (skills/brotli-cve-check/SKILL.md): एक AI एजेंट स्क्रिप्ट चलाता है, आपकी k8s, terraform, compose फ़ाइलें, और README पढ़ता है ताकि पता लगा सके कि सिस्टम कितना एक्सपोज़्ड है, फिर उस एक्सपोज़र के साथ स्क्रिप्ट दोबारा चलाता है।

इंस्टॉल

Claude Code प्लगइन

/plugin marketplace add Apaonum/brotli-cve-check
/plugin install brotli-cve-check@brotli-cve-check

नए वर्ज़न पाने के लिए, /plugin marketplace update brotli-cve-check चलाएँ।

कोई भी एजेंट (Claude Code, Cursor, Codex, Copilot, ...) skills CLI के ज़रिए

npx skills add Apaonum/brotli-cve-check

मैन्युअल

git clone https://github.com/Apaonum/brotli-cve-check
ln -s "$PWD/brotli-cve-check/skills/brotli-cve-check" ~/.claude/skills/brotli-cve-check

उपयोग

स्किल इंस्टॉल होने के बाद, अपने एजेंट से कहें कि "इस प्रोजेक्ट को Brotli CVE के लिए जाँचें"।

स्क्रिप्ट को सीधे चलाने के लिए:

python3 skills/brotli-cve-check/scripts/brotli_check.py <project> \
  [--exposure internet|internal|none] \
  [--python <venv>/bin/python] \
  [--image <image>] \
  [--json]

--exposure	गंभीरता	समय-सीमा	कब
internet	Critical	24 घंटे	इंटरनेट से अनुरोध लेता है, पार्टनर या थर्ड-पार्टी APIs को कॉल करता है, या उपयोगकर्ताओं द्वारा दिए गए URLs फ़ेच करता है
internal	High	7 दिन	आंतरिक नेटवर्क या VPN पर अन्य सिस्टम या पार्टनर से डेटा लेता है, या ग्राहक के व्यक्तिगत डेटा को प्रोसेस करता है
none	Medium	≤ 30 दिन	बिल्ड/CI इमेजें, डेव मशीनें, बैच जॉब जो केवल आंतरिक डेटा पढ़ते हैं
(छोड़ा गया)	Critical	24 घंटे	एक्सपोज़र अज्ञात है, इसलिए टूल उच्चतर स्तर मान लेता है

एग्ज़िट कोड: 0 साफ़, 1 कमज़ोर या सत्यापन आवश्यक, 2 स्कैन त्रुटि।

यह क्या जाँचता है

• requirements*.txt, pyproject.toml, poetry.lock, uv.lock, Pipfile.lock: Brotli 1.0.3–1.2.0 (बैकपोर्टेड फ़िक्स 1.0.10 और 1.1.1 को छोड़कर) और brotlicffi < 1.2.1.0
• Dockerfile: Debian unstable (sid) पर आधारित बेस इमेजें, और डाइजेस्ट द्वारा पिन न की गई बेस इमेजें
• --image: कंटेनर चलाता है और dpkg --compare-versions के साथ libbrotli1 जाँचता है (bookworm को ≥ 1.0.9-2+deb12u1 चाहिए, trixie को ≥ 1.1.0-2+deb13u1 चाहिए)। यह इमेज के अंदर Python पैकेज भी जाँचता है, और अगर trivy इंस्टॉल है तो उसे चलाता है। docker आवश्यक है।
• --python: उस इंटरप्रेटर में वास्तव में इंस्टॉल किए गए पैकेज जाँचता है

CI उदाहरण

- run: python3 skills/brotli-cve-check/scripts/brotli_check.py . --exposure internet --json

परीक्षण

python3 skills/brotli-cve-check/scripts/test_brotli_check.py

सीमाएँ

• अन्य डिस्ट्रोस (Ubuntu, RHEL, Alpine) पर, --image इंस्टॉल किया गया वर्ज़न रिपोर्ट करता है और उसे "verify" के रूप में चिह्नित करता है। उस वर्ज़न की तुलना डिस्ट्रो के अपने सुरक्षा ट्रैकर से करें।
• जब किसी प्रोजेक्ट में Dockerfile हो लेकिन आप --image पास नहीं करते, तो परिणाम "needs verification" होता है, क्योंकि स्कैन कभी भी इमेज के अंदर OS लाइब्रेरी नहीं देखता।

लाइसेंस

MIT