El fallo de Brotli que afecta a Node.js se extiende a Python y a multitud de librerías HTTP
Node2Shell evolves to HTTP2Shell, blast radius affects many HTTP libs and apps
La CVE-2026-111497, una escritura fuera de límites en el decodificador de Brotli de Google, permite a un atacante remoto no autenticado ejecutar código arbitrario o filtrar memoria. Descubierta por OpenAI en febrero pero no reconocida como problema de seguridad hasta ahora, afecta a Node.js, Python, Bun, Envoy e Istio, entre otros. Ya hay parches para las versiones principales, pero muchas bases de datos de avisos aún no la mapean a los paquetes de PyPI, por lo que herramientas como pip-audit o Dependabot no los marcan.
El fallo subyacente se corrigió en el código fuente de Brotli en febrero, pero no se reconoció como un problema de seguridad en ese momento y ninguna versión incluyó la corrección hasta ahora. Eso significa que cada proyecto que incorpora Brotli tiene que publicar su propia actualización.
- netsharc
Bueno, quien haya elegido el nombre HTTP2Shell ciertamente no usó ninguna inteligencia, artificial o genuina.
Es tan carente de significado, tan amplio y tan poco descriptivo del problema real. No, probablemente no afecta a un servidor HTTP que no tenga nada más detrás, así que ¿por qué se está atacando a HTTP?
Bien podrían llamarlo Exploit Pro Max...
- pimterry
Prefiero mucho más el nombre y el sitio Broccoli2Shell (para la misma vulnerabilidad): https://broccoli2shell.com/. Para empezar, estoy bastante seguro de que puedes explotar esto sin HTTP si haces cualquier decodificación manual de Brotli; HTTP simplemente resulta ser el caso más común que se presenta.
- Rapzid
> lo reportaron como ejecución remota de código no autenticada que funciona en ambas direcciones
> pero no fue reconocido como un problema de seguridad en ese momento y ninguna versión se publicó con la corrección hasta ahora
Siempre confundo mis peligrosos bugs de RCE con mis inofensivos bugs de RCE.
Tengo curiosidad por saber cómo se reportó y se corrigió en febrero pero nadie reconoció su importancia. ¿Un caso de automatización con IA y nadie al volante?
- nairboon
Brotli2Shell parece un nombre más apropiado para esto.
- bawolff
Para mí, la parte sorprendente es cuántos de estos implementan compresión brotli de los cuerpos de las solicitudes (no solo de las respuestas), dado lo oscuro que es esa característica.
En cualquier caso, todo este sensacionalismo está empezando a resultar molesto. Parchea tus cosas y sigue adelante.
Edición: en realidad, entre todo el sensacionalismo, es difícil deducir del artículo cuántos de estos realmente admiten cuerpos de solicitud comprimidos con brotli en configuraciones comunes frente a algún otro uso de brotli (lo cual es malo pero ni de lejos tan crítico).
- cowsandmilk
El artículo afirma que OpenAI encontró esto en febrero, pero no creo que sea correcto. Creo que Google hizo un cambio en el código fuente de Brotli en febrero que corrige el problema, pero no se había dado cuenta de que era un problema de seguridad y por lo tanto no había publicado una versión.
- flyingjoe
Hace unos meses, todos aconsejaban usar periodos de espera en las actualizaciones de tus paquetes. Ahora estamos constantemente anulando esos consejos porque los incidentes de seguridad se explotan de inmediato.
Supongo que así será de ahora en adelante.
- tetha
Bueno, al menos lo sabemos durante o antes de que continúe el enorme esfuerzo de parcheo para todo lo demás. Simplemente ponlo en la pila.
¿Quién activó el modo difícil esta semana?