Brotli-Lücke in Node.js weitet sich zu HTTP2Shell aus und bedroht zahlreiche HTTP-Bibliotheken
Node2Shell evolves to HTTP2Shell, blast radius affects many HTTP libs and apps
Die kritische Schwachstelle CVE-2026-111497 im Google-Brotli-Decoder (CVSS 9.2) ermöglicht Remotecodeausführung und betrifft weit mehr als nur Node.js: Auch Python-Pakete wie Brotli und brotlicffi sind verwundbar, ebenso Bun, Envoy, Istio und curl. Da der Fehler seit Februar im Quellcode steckt, müssen zahlreiche Projekte eigene Patches ausliefern. Betroffen sind auch transitive Abhängigkeiten – selbst Anwendungen, die Brotli nicht direkt importieren, können über HTTP-Clients wie requests oder httpx angegriffen werden.
Ein Angreifer kann diese Beschädigung nutzen, um zu steuern, was ausgeführt wird – etwa seinen eigenen Code.
- netsharc
Nun, wer auch immer den Namen HTTP2Shell ausgewählt hat, hat sicherlich keine Intelligenz benutzt, weder künstliche noch echte.
Er ist so nichtssagend, breit und beschreibt das eigentliche Problem nicht. Nein, es betrifft wahrscheinlich keinen HTTP-Server, hinter dem nichts weiter steckt, also warum wird HTTP so angegriffen?
Man könnte es genauso gut Exploit Pro Max nennen...
- pimterry
Ich bevorzuge den Namen und die Seite Broccoli2Shell (für dieselbe Schwachstelle) viel mehr: https://broccoli2shell.com/. Zunächst einmal bin ich mir ziemlich sicher, dass man das auch ohne HTTP auslösen kann, wenn man manuell Brotli dekodiert; HTTP ist zufällig nur der häufigste Fall, der auftritt.
- Rapzid
> meldete es als nicht authentifizierte Remote-Code-Ausführung, die in beide Richtungen funktioniert
> aber es wurde damals nicht als Sicherheitsproblem erkannt und keine Version wurde mit dem Fix ausgeliefert bis jetzt
Ich verwechsle ständig meine gefährlichen RCE-Bugs mit meinen harmlosen RCE-Bugs.
Ich bin neugierig, wie das im Februar gemeldet und behoben wurde, aber niemand die Bedeutung erkannt hat. Ein Fall von KI-Automatisierung und niemand am Steuer?
- nairboon
Brotli2Shell scheint ein passenderer Name dafür zu sein.
- bawolff
Für mich ist das Überraschende, wie viele davon Brotli-Komprimierung von Request-Bodies (nicht nur Response-Bodies) implementieren, angesichts der Tatsache, wie obskur dieses Feature ist.
Wie auch immer, diese ganze Sensationsmache geht mir langsam auf die Nerven. Patcht euren Kram und macht weiter.
Edit: Eigentlich ist es bei all der Sensationsmache schwer, aus dem Artikel herauszulesen, wie viele davon tatsächlich Brotli-komprimierte Request-Bodies in gängigen Konfigurationen unterstützen im Vergleich zu einer anderen Verwendung von Brotli (was schlecht ist, aber bei weitem nicht so kritisch).
- cowsandmilk
Der Artikel behauptet, OpenAI habe das im Februar gefunden, aber ich glaube nicht, dass das stimmt. Ich denke, Google hat im Februar eine Änderung am Brotli-Quellcode vorgenommen, die das Problem behebt, aber hatte nicht erkannt, dass es ein Sicherheitsproblem war, und daher keine Version veröffentlicht.
- flyingjoe
Vor ein paar Monaten hat jeder empfohlen, Abklingzeiten bei Paket-Upgrades zu verwenden. Jetzt überschreiben wir diese ständig, weil Sicherheitsvorfälle sofort ausgenutzt werden.
Ich schätze, so wird es von nun an einfach sein.
- tetha
Nun, zumindest wissen wir davon, während oder bevor die riesige Patch-Aktion für alles andere weitergeht. Packen wir es einfach auf den Haufen.
Wer hat diese Woche den Hard-Modus eingeschaltet?