brotli-cve-check

Verifica um projeto ou imagem de contêiner em busca de CVE-2026-111497, um estouro de buffer no decodificador Brotli. Classifica a criticidade como Crítica, Alta ou Média e lista as etapas para corrigi-la.

O repositório inclui duas partes:

• Script (skills/brotli-cve-check/scripts/brotli_check.py): realiza a verificação, a classificação e a remediação propriamente ditas. Requer apenas Python 3.11+ e nenhuma dependência, portanto também é executado em CI.
• Skill (skills/brotli-cve-check/SKILL.md): um agente de IA executa o script, lê seus arquivos k8s, terraform, compose e README para determinar o nível de exposição do sistema e, em seguida, executa o script novamente com essa exposição.

Instalação

Plugin do Claude Code

/plugin marketplace add Apaonum/brotli-cve-check
/plugin install brotli-cve-check@brotli-cve-check

Para obter novas versões, execute /plugin marketplace update brotli-cve-check.

Qualquer agente (Claude Code, Cursor, Codex, Copilot, ...) via CLI de skills

npx skills add Apaonum/brotli-cve-check

Manual

git clone https://github.com/Apaonum/brotli-cve-check
ln -s "$PWD/brotli-cve-check/skills/brotli-cve-check" ~/.claude/skills/brotli-cve-check

Uso

Com a skill instalada, peça ao seu agente para "verificar este projeto em busca da CVE do Brotli".

Para executar o script diretamente:

python3 skills/brotli-cve-check/scripts/brotli_check.py <project> \
  [--exposure internet|internal|none] \
  [--python <venv>/bin/python] \
  [--image <image>] \
  [--json]

--exposure	Criticidade	Prazo	Quando
internet	Crítica	24 horas	Recebe requisições da internet, chama APIs de parceiros ou de terceiros, ou busca URLs fornecidas por usuários
internal	Alta	7 dias	Recebe dados de outros sistemas ou parceiros por uma rede interna ou VPN, ou processa dados pessoais de clientes
none	Média	≤ 30 dias	Imagens de build/CI, máquinas de desenvolvimento, jobs em lote que leem apenas dados internos
(omitido)	Crítica	24 horas	A exposição é desconhecida, então a ferramenta assume o nível mais alto

Códigos de saída: 0 limpo, 1 vulnerável ou precisa de verificação, 2 erro de verificação.

O que ele verifica

• requirements*.txt, pyproject.toml, poetry.lock, uv.lock, Pipfile.lock: Brotli 1.0.3–1.2.0 (exceto as correções retroportadas 1.0.10 e 1.1.1) e brotlicffi < 1.2.1.0
• Dockerfile: imagens base em Debian unstable (sid) e imagens base não fixadas por digest
• --image: executa o contêiner e verifica libbrotli1 com dpkg --compare-versions (bookworm requer ≥ 1.0.9-2+deb12u1, trixie requer ≥ 1.1.0-2+deb13u1). Também verifica os pacotes Python dentro da imagem e executa trivy se estiver instalado. Requer docker.
• --python: verifica os pacotes realmente instalados naquele interpretador

Exemplo de CI

- run: python3 skills/brotli-cve-check/scripts/brotli_check.py . --exposure internet --json

Teste

python3 skills/brotli-cve-check/scripts/test_brotli_check.py

Limitações

• Em outras distribuições (Ubuntu, RHEL, Alpine), --image informa a versão instalada e a marca como "verificar". Compare essa versão com o rastreador de segurança da própria distribuição.
• Quando um projeto tem um Dockerfile mas você não passa --image, o resultado é "precisa de verificação", porque a verificação nunca vê a biblioteca do sistema operacional dentro da imagem.

Licença

MIT