http2shell: Eine RCE-Lücke steckt in Node, Python und vielen weiteren
Evolving Threat: http2shell is an RCE in node, Python, and more
Eine als http2shell bezeichnete Sicherheitslücke ermöglicht Remote Code Execution in Node, Python und weiteren Umgebungen. Ursache ist offenbar eine Schwachstelle in brotli bis Version 1.2.0; das Python-Paket wurde bereits auf 1.2.1 aktualisiert. Der Fix im brotli-Repository von Google stammt allerdings schon aus dem Februar. Als Schutzmaßnahme empfehlen Diskutierende, das Content-Encoding br auf beiden Seiten zu deaktivieren. Rust-Server gelten als nicht betroffen, da die brotli-Crate keine Bindung an C-Code nutzt.
Ich könnte gut darauf verzichten, dass jeder Speicherfehler einen niedlichen, reißerischen Namen und eine Marketing-Kampagne bekommt, muss ich sagen.
- mirashii
Ich habe das Gefühl, das sollte eher googlebrotli2shell heißen, nicht http2shell. Google verdient dafür einen kleinen Imageschaden. Das ist eine grundlegende Speichersicherheitsverletzung, von derselben Organisation, die wuffs macht, die Rust für Speichersicherheit bewirbt, die Carbon hat. zstd hat hochwertige Rust-Implementierungen und stammt aus etwa derselben Zeit.
Darüber hinaus gab es für die brotli-Bibliothek fast ein ganzes Jahr lang keine Releases, wobei der Fix für diese Schwachstelle bereits im Februar committet wurde. Google baut bei allen ihren Projekten aus main, waren also nicht betroffen, aber Open-Source-Releases sind völlig nebensächlich. Über 100 Commits mit diversen Fixes lagen brach, bis ein Sicherheitsvorfall ein Release erzwingt.
- ataraxia937
Das hier wirkt wieder einmal übertrieben, zumindest für Server. Ich habe gerade eine Organisation mit über 200 GitHub-Repos überprüft. Node, Python und C#. Keines davon ist anfällig ... weil keines davon tatsächlich den Brotli-Decoder aufruft. Er ist serverseitig einfach nicht standardmäßig aktiviert, von den Plattformen selbst. Das ist ähnlich wie bei den PHP-Bugs, bei denen bestimmte Bedingungen erfüllt sein müssen, bevor man tatsächlich anfällig ist.
Bei Clients? Klar, das ist ein größeres Risiko. Patcht sie. Aber die Bösen greifen deine Clients nicht an, es sei denn, die Clients verbinden sich zu ihnen. Bleib nicht lange auf, um das zu beheben.
(Und ja, .NET ist hier inbegriffen, weil Microsofts Brotli-Modul eine Bindung für Googles anfällige Referenzimplementierung ist.)
- anonymous908213
Ich könnte wirklich darauf verzichten, dass jeder Speicher-Bug einen niedlichen, reißerischen Namen und einen Marketing-Push bekommt, muss ich sagen.
- rvanlaar
Es sieht so aus, als wäre brotli <= 1.2.0 anfällig.
Das Python-Paket wurde bereits auf 1.2.1 aktualisiert. https://pypi.org/project/brotli/1.2.1/
- hatthew
Ich habe das Gefühl, dass normale Sicherheitsprobleme nicht viel Publicity bekommen. Die PHP- und eMudhra-Probleme schienen schwerwiegend und Publicity wert. Aber bei so etwas bin ich mir nicht sicher. Ist das ein schwerwiegendes Problem? Oder ist es nur ein gewöhnliches Problem, das nur deshalb berichtenswert ist, weil Websicherheit gerade in aller Munde ist?