http2shell: una RCE en node, Python y más golpea a brotli
Evolving Threat: http2shell is an RCE in node, Python, and more
La discusión en Hacker News apunta a que http2shell es una vulnerabilidad de ejecución remota de código que afecta a servidores en node, Python y otros entornos a través de brotli. Las versiones afectadas serían brotli <= 1.2.0, y el paquete de Python ya se actualizó a 1.2.1. El commit que lo corrige en el repositorio de Google data de febrero, aunque no se consideró relevante para la seguridad hasta que un agente lo detectó. Desactivar la codificación br es la mitigación propuesta.
Podría prescindir de que cada bug de memoria reciba un nombre sensacionalista y una campaña de marketing, la verdad.
- mirashii
Siento que esto debería ser googlebrotli2shell, no http2shell. Google merece recibir un pequeño golpe reputacional por esto. Es una violación básica de seguridad de memoria, de la misma organización que hace wuffs, que promueve Rust por seguridad de memoria, que tiene Carbon. zstd tiene implementaciones en Rust de alta calidad y es de aproximadamente la misma época.
Además, la librería brotli no tuvo ningún lanzamiento durante casi un año entero, con el parche para esta vulnerabilidad siendo commiteado en febrero. Google compila desde main para todos sus proyectos, así que no se vieron afectados, pero los lanzamientos de código abierto son un completo pensamiento de última hora. Más de 100 commits con correcciones misceláneas dejados languidecer hasta que un incidente de seguridad fuerza un lanzamiento.
- ataraxia937
Esto de nuevo me parece exagerado, al menos para servidores. Acabo de revisar una organización de más de 200 repositorios de GitHub. Node, Python y C#. Ninguno de ellos es vulnerable... porque ninguno de ellos realmente llama al decodificador Brotli. Simplemente no está habilitado por defecto en el lado del servidor, por las propias plataformas. Esto es muy similar a los bugs de PHP, donde tienen que darse condiciones específicas antes de que realmente seas vulnerable.
¿Para clientes? Claro, ese es un riesgo mayor. Parchealos. Pero los malos no están atacando a tus clientes a menos que los clientes se conecten a ellos. No te quedes despierto hasta tarde para arreglar esto.
(Y sí, .NET está incluido aquí, porque el módulo Brotli de Microsoft es un binding para la implementación de referencia vulnerable de Google).
- anonymous908213
La verdad, podría prescindir de que cada bug de memoria reciba un nombre sensacionalista mono y un empujón de marketing.
- rvanlaar
Parece que brotli <= 1.2.0 es vulnerable.
El paquete de Python ya se ha actualizado a 1.2.1. https://pypi.org/project/brotli/1.2.1/
- hatthew
Siento que los problemas de seguridad normales no reciben mucha publicidad. Los problemas de PHP y eMudhra parecían graves y dignos de publicidad. Pero luego con cosas como esta, no estoy seguro. ¿Es este un problema grave? ¿O es solo un problema común que solo es noticia porque la seguridad web está en la mente de la gente en este momento?