Brotli Checker

Brotli Checker は、CVE-2026-111497 への対応で更新が必要となる可能性のある Brotli デコーダーのコピーを検出します。Claude Code または Codex のスキルとしてインストールし、プロジェクトのチェックを依頼してください。

このスキルは、ソース、依存関係、アプリパッケージ、および展開済みのコンテナファイルシステムをスキャンします。ソースのフィンガープリントとサポート対象の ELF バイナリコードを検査し、アプリがどのコピーを使用しているかを調査して、何を更新または確認すべきかを説明します。各コピーはそれぞれ独自の結果を保持します。

ソースレビューでは、Trailmark がデコーダーおよびフェッチ API への呼び出しをマッピングし、アシスタントが検査すべき呼び出し元を見つけるのを支援します。スキャナーは疑わしい箇所を特定し、Trailmark はコードがどのように接続されているかを示すのに役立ちます。アシスタントは、それらの接続が実行中のアプリに当てはまるかどうかを確認します。

インストールと使用方法

Claude Code または Codex に次のように依頼します:

Install the brotli-checker skill from https://github.com/trailofbits/brotli-checker/tree/main/skills/brotli-checker

手動でインストールする場合は、skills/brotli-checker フォルダー全体を ~/.claude/skills/（Claude Code）または ~/.codex/skills/（Codex）にコピーします。新しいセッションを開始し、チェック対象のプロジェクトを開いて、次のように依頼します:

Use brotli-checker to check this project and tell me whether I need to update anything.

フォルダーやアプリパッケージを指定することもできます。ウェブサイトのアドレスのみを指定した場合、スキルは不足している情報を説明し、ホスティングプロバイダーへのリクエストを準備します。HTTP ヘッダーでは、デコーダーのパッチ適用状況を確認できません。

Trailmark によるソース検出には Python 3.12–3.15 と uv が必要です。スタンドアロンのスキャナーは標準ライブラリのみを使用します。

スキャナーを直接実行する

エージェントを使わずにローカルの証拠を収集するには:

git clone https://github.com/trailofbits/brotli-checker.git
cd brotli-checker
python3 skills/brotli-checker/scripts/brotli_inventory.py /path/to/application

デフォルトの出力では、検出結果と次のステップが説明されます。--json を追加すると、コピーごとの証拠、カバレッジのギャップ、および平易な言葉による user_summary が得られます。フラグ、終了コード、Trailmark によるソース検出、バイナリインベントリ、逆アセンブリレビューについては、スキャナーガイドを参照してください。

結果の理解

影響を受けるコードは、更新またはベンダーバックポートのレビューが必要であることを示します。バージョンと依存関係に関する検出結果は、アプリの実際のビルドに対して確認する必要があります。修正済みのコピーがあっても、同梱された他のコピーが問題ないことにはならず、スキャン結果が空であっても、アプリが安全であることを証明するものではありません。

スキャナーは、アプリケーションコードを実行したり、ネットワークプローブを送信したりせずにファイルを読み取ります。パッケージ化されたコンパイル済み参照は、x86、x86-64、ARM/Thumb、AArch64、RISC-V64、PowerPC64 リトルエンディアン、s390x、MIPS32/64（両バイトオーダー）、および LoongArch64 の ELF ビルドをカバーします。カバレッジはコンパイラとビルドフラグに依存します。ビルドマトリックスを参照してください。サポートされていない形式、スキップされたファイル、およびリソース制限は、カバレッジのギャップを生じさせます。影響を受けるコードが見つかったからといって、実行中のアプリがそれを使用していることや、攻撃者がそれに到達できることが証明されるわけではありません。

ルールは 2026-10-23 付のアドバイザリスナップショットを使用します。更新とバックポートについては、現在のベンダーのガイダンスを確認してください。

ドキュメント

• スキャナーガイド: コマンド、出力、制限、およびバイナリレビュー。
• アドバイザリ: 修正済みバージョン、フィンガープリント、および来歴。
• 到達可能性: Node、Electron、Java、フォント、TLS、およびコンパイル済みコードの調査。
• コントリビューション: 開発環境のセットアップとチェック。
• 変更履歴: リリース履歴。
• セキュリティポリシー: 非公開の脆弱性報告。

MIT。コンパイル済みの Brotli 参照は、それぞれのアップストリームの通知を保持します。