brotli-cve-check

Analizza un progetto o un'immagine container alla ricerca di CVE-2026-111497, un buffer overflow nel decoder Brotli. Classifica la criticità come Critica, Alta o Media ed elenca i passaggi per risolverla.

Il repository contiene due componenti:

• Script (skills/brotli-cve-check/scripts/brotli_check.py): esegue la scansione, la classificazione e la remediation effettive. Richiede solo Python 3.11+ e nessuna dipendenza, quindi funziona anche in CI.
• Skill (skills/brotli-cve-check/SKILL.md): un agente AI esegue lo script, legge i tuoi file k8s, terraform, compose e il README per determinare quanto è esposto il sistema, quindi esegue di nuovo lo script con tale esposizione.

Installazione

Plugin di Claude Code

/plugin marketplace add Apaonum/brotli-cve-check
/plugin install brotli-cve-check@brotli-cve-check

Per ottenere le nuove versioni, esegui /plugin marketplace update brotli-cve-check.

Qualsiasi agente (Claude Code, Cursor, Codex, Copilot, ...) tramite la CLI skills

npx skills add Apaonum/brotli-cve-check

Manuale

git clone https://github.com/Apaonum/brotli-cve-check
ln -s "$PWD/brotli-cve-check/skills/brotli-cve-check" ~/.claude/skills/brotli-cve-check

Utilizzo

Con la skill installata, chiedi al tuo agente di "verificare questo progetto per la CVE di Brotli".

Per eseguire lo script direttamente:

python3 skills/brotli-cve-check/scripts/brotli_check.py <project> \
  [--exposure internet|internal|none] \
  [--python <venv>/bin/python] \
  [--image <image>] \
  [--json]

--exposure	Criticità	Scadenza	Quando
internet	Critica	24 ore	Riceve richieste da internet, chiama API di partner o di terze parti, oppure recupera URL forniti dagli utenti
internal	Alta	7 giorni	Riceve dati da altri sistemi o partner tramite una rete interna o VPN, oppure elabora dati personali dei clienti
none	Media	≤ 30 giorni	Immagini di build/CI, macchine di sviluppo, job batch che leggono solo dati interni
(omesso)	Critica	24 ore	L'esposizione è sconosciuta, quindi lo strumento assume il livello più alto

Codici di uscita: 0 pulito, 1 vulnerabile o richiede verifica, 2 errore di scansione.

Cosa controlla

• requirements*.txt, pyproject.toml, poetry.lock, uv.lock, Pipfile.lock: Brotli 1.0.3–1.2.0 (eccetto le correzioni backportate 1.0.10 e 1.1.1) e brotlicffi < 1.2.1.0
• Dockerfile: immagini di base su Debian unstable (sid) e immagini di base non bloccate tramite digest
• --image: esegue il container e controlla libbrotli1 con dpkg --compare-versions (bookworm richiede ≥ 1.0.9-2+deb12u1, trixie richiede ≥ 1.1.0-2+deb13u1). Controlla anche i pacchetti Python all'interno dell'immagine ed esegue trivy se installato. Richiede docker.
• --python: controlla i pacchetti effettivamente installati in quell'interprete

Esempio per la CI

- run: python3 skills/brotli-cve-check/scripts/brotli_check.py . --exposure internet --json

Test

python3 skills/brotli-cve-check/scripts/test_brotli_check.py

Limiti

• Su altre distribuzioni (Ubuntu, RHEL, Alpine), --image riporta la versione installata e la contrassegna come "verify". Confronta quella versione con il security tracker della distribuzione stessa.
• Quando un progetto ha un Dockerfile ma non passi --image, il risultato è "needs verification", perché la scansione non vede mai la libreria del sistema operativo all'interno dell'immagine.

Licenza

MIT