brotli-cve-check

プロジェクトまたはコンテナイメージをスキャンして、Brotli デコーダのバッファオーバーフローである CVE-2026-111497 を検出します。深刻度を Critical、High、Medium で評価し、修正手順を一覧表示します。

このリポジトリには 2 つの要素が含まれています:

• スクリプト (skills/brotli-cve-check/scripts/brotli_check.py): 実際のスキャン、評価、修復を行います。Python 3.11+ のみを必要とし、依存関係がないため、CI でも実行できます。
• スキル (skills/brotli-cve-check/SKILL.md): AI エージェントがスクリプトを実行し、あなたの k8s、terraform、compose ファイル、README を読み取ってシステムの露出度を判断し、その露出度を指定してスクリプトを再度実行します。

インストール

Claude Code プラグイン

/plugin marketplace add Apaonum/brotli-cve-check
/plugin install brotli-cve-check@brotli-cve-check

新しいバージョンを取得するには、/plugin marketplace update brotli-cve-check を実行してください。

skills CLI 経由の任意のエージェント (Claude Code、Cursor、Codex、Copilot など)

npx skills add Apaonum/brotli-cve-check

手動

git clone https://github.com/Apaonum/brotli-cve-check
ln -s "$PWD/brotli-cve-check/skills/brotli-cve-check" ~/.claude/skills/brotli-cve-check

使用方法

スキルをインストールしたら、エージェントに「このプロジェクトの Brotli CVE をチェックして」と依頼してください。

スクリプトを直接実行するには:

python3 skills/brotli-cve-check/scripts/brotli_check.py <project> \
  [--exposure internet|internal|none] \
  [--python <venv>/bin/python] \
  [--image <image>] \
  [--json]

--exposure	深刻度	期限	該当する場合
internet	Critical	24 時間	インターネットからのリクエストを受け付ける、パートナーやサードパーティの API を呼び出す、またはユーザーが指定した URL を取得する
internal	High	7 日	内部ネットワークや VPN 経由で他のシステムやパートナーからデータを受け取る、または顧客の個人データを処理する
none	Medium	≤ 30 日	ビルド/CI イメージ、開発マシン、内部データのみを読み取るバッチジョブ
(省略時)	Critical	24 時間	露出度が不明なため、ツールはより高いレベルを想定する

終了コード: 0 問題なし、1 脆弱または検証が必要、2 スキャンエラー。

チェック対象

• requirements*.txt、pyproject.toml、poetry.lock、uv.lock、Pipfile.lock: Brotli 1.0.3–1.2.0 (バックポートされた修正 1.0.10 および 1.1.1 を除く) および brotlicffi < 1.2.1.0
• Dockerfile: Debian unstable (sid) をベースにしたイメージ、およびダイジェストで固定されていないベースイメージ
• --image: コンテナを実行し、dpkg --compare-versions で libbrotli1 をチェックします (bookworm は ≥ 1.0.9-2+deb12u1、trixie は ≥ 1.1.0-2+deb13u1 が必要)。イメージ内の Python パッケージもチェックし、trivy がインストールされていれば実行します。docker が必要です。
• --python: そのインタプリタに実際にインストールされているパッケージをチェックします

CI の例

- run: python3 skills/brotli-cve-check/scripts/brotli_check.py . --exposure internet --json

テスト

python3 skills/brotli-cve-check/scripts/test_brotli_check.py

制限事項

• 他のディストリビューション (Ubuntu、RHEL、Alpine) では、--image はインストールされているバージョンを報告し、「verify」とマークします。そのバージョンをディストリビューション独自のセキュリティトラッカーと比較してください。
• プロジェクトに Dockerfile があるのに --image を渡さない場合、スキャンはイメージ内の OS ライブラリを確認できないため、結果は「needs verification」になります。

ライセンス

MIT