Źródło: unsplash.com/photos/mT7lXZPjk7U
Krytyczna podatność w bibliotece Brotli otrzymała kilka nazw, między innymi HTTP2Shell, Broccoli2Shell i Node2Shell. Luka jest śledzona jako CVE-2026-111497 i może umożliwić uszkodzenie pamięci, ujawnienie wrażliwych danych, awarię procesu, a w określonych warunkach także zdalne wykonanie kodu. Problem dotyczy oprogramowania, które dekoduje dane Brotli kontrolowane przez użytkownika lub pochodzące z sieci.
Brotli to otwartoźródłowy projekt rozwijany i utrzymywany przez Google. Biblioteka służy do bezstratnej kompresji danych, dzięki czemu pliki mogą być przesyłane szybciej bez zmiany ich pierwotnej zawartości. Podatność znajduje się w dekoderze Brotli, czyli części odpowiedzialnej za odczytywanie skompresowanych danych. Wpływa na wersje 1.0.3 do 1.0.9, a także 1.1.0 i 1.2.0.
Słownik artykułu
Krótkie objaśnienia terminów występujących w tekście. Każde hasło prowadzi do szerszej definicji i przykładów użycia.
System oznaczania i katalogowania publicznie znanych podatności w oprogramowaniu. Numer CVE jednoznacznie identyfikuje konkretny błąd bezpieczeństwa.
Podatność umożliwiająca napastnikowi uruchomienie własnych poleceń lub programu na zaatakowanym komputerze przez sieć, bez fizycznego dostępu do urządzenia.
Proof of concept to demonstracja pokazująca, że określony sposób wykorzystania podatności działa. Nie musi być kompletnym narzędziem ataku, ale może ułatwić odtworzenie problemu.
Podatność jest związana z przepełnieniem bufora w dekoderze Brotli. Specjalnie przygotowany strumień skompresowanych danych może spowodować, że dekoder błędnie potraktuje nieprawidłowy przełącznik bloku jako chwilową potrzebę otrzymania kolejnych danych, zamiast zakończyć przetwarzanie błędem formatu. W efekcie zapis może wyjść poza wyznaczony obszar pamięci i uszkodzić sąsiednie dane.
Do próby wykorzystania może dojść wtedy, gdy aplikacja dekoduje złośliwe dane Brotli. Źródłem może być między innymi specjalnie przygotowana odpowiedź HTTP otrzymana przez aplikację pobierającą wskazany adres albo złośliwe żądanie wysłane bezpośrednio do serwera. Według zespołu Node.js skutkiem może być przerwanie procesu, ujawnienie zawartości pamięci i zdalne wykonanie kodu. Raport firmy Imperva również wskazuje, że CVE-2026-111497 może prowadzić do RCE.
Pierwsze poprawki w kodzie źródłowym Brotli zostały przygotowane w lutym. Stabilne aktualizacje dla użytkowników Node.js i Brotli udostępniono 21 października, a publiczne informacje o luce opublikowano dzień później. 23 października pojawiły się także poprawione pakiety w PyPI. Microsoft wydał awaryjną aktualizację zabezpieczeń dla .NET, ostrzegając, że skuteczne wykorzystanie podatności może prowadzić do eskalacji uprawnień w systemach z podatną wersją .NET.
Administratorzy powinni zastosować dostępne aktualizacje we wszystkich używanych środowiskach, a następnie ponownie uruchomić podatne procesy. Obrazy kontenerów zawierające podatne komponenty trzeba zbudować na nowo i ponownie wdrożyć. Samo zaktualizowanie systemowej biblioteki Brotli nie musi rozwiązać problemu, ponieważ Node.js i inne aplikacje mogą korzystać z własnej, dołączonej kopii biblioteki. Zablokowanie przychodzących żądań skompresowanych Brotli również nie eliminuje ryzyka związanego ze złośliwą odpowiedzią HTTP.
Jeżeli natychmiastowa aktualizacja nie jest możliwa, zalecanym działaniem tymczasowym jest wyłączenie obsługi Brotli w aplikacjach Python oraz blokowanie przychodzących żądań skompresowanych Brotli na poziomie serwera proxy lub zapory sieciowej. Są to środki ograniczające ryzyko, a nie zamiennik poprawki. Po jej wdrożeniu warto sprawdzić wszystkie zależności i obrazy aplikacji, aby upewnić się, że nie pozostały w nich starsze kopie dekodera.
Brak komentarzy. Bądź pierwszy!