GoogleのBrotliにCVSS 9.2の脆弱性、Node.jsからPythonへ被害拡大
Node2Shell evolves to HTTP2Shell, blast radius affects many HTTP libs and apps
Googleの圧縮ライブラリBrotliの脆弱性CVE-2026-111497は、Node.jsの「node2shell」として発覚した後、PythonのBrotli・brotlicffiパッケージにも影響することが判明した。さらにHTTPを扱う多くの言語やアプリに波及している。原因は2月にOpenAIが発見していたが当時はセキュリティ問題と認識されず、修正版の配布が遅れた。Brotli 1.2.1などへのアップグレードが推奨される。
悪意あるクライアントは未パッチのサーバーを乗っ取り、悪意あるサーバーは圧縮応答を受け入れる未パッチのクライアントを乗っ取ることができる。
HNでの議論
131- netsharc
まあ、HTTP2Shellって名前をつけた人は、人工であれ本物であれ、知能を全く使ってなかったのは確かだね。
あんまりにも無意味で、広範で、実際の問題を何も説明してない。いや、たぶん背後に何もないただのHTTPサーバーには影響しないんだろうから、なんでHTTPが槍玉に挙げられてるんだよ？
もうExploit Pro Maxって呼んじゃえばいいんじゃないの…
- pimterry
同じ脆弱性ならBroccoli2Shellという名前とサイト（https://broccoli2shell.com/）のほうがずっと好きだな。まず第一に、手動でBrotliデコードをやるならHTTPなしでもこれは踏めるはずだと思う。HTTPはたまたま一番よく出てくるケースなだけだ。
- Rapzid
> 双方向で動作する未認証のリモートコード実行として報告した
> しかし当時はセキュリティ問題として認識されず、修正を含むリリースは今まで出なかった
危険なRCEバグと無害なRCEバグをいつも混同しちゃうんだよな。
2月にどうやって報告されて修正されたのに、誰もその重要性に気づかなかったのかが気になる。AI自動化のせいで、誰もハンドルを握ってなかったってこと？
- nairboon
Brotli2Shellのほうがこの件にはより適切な名前だね。
- bawolff
自分にとって驚きなのは、これがどれだけマイナーな機能かというのに、リクエストボディ（レスポンスだけでなく）のbrotli圧縮を実装しているものがこんなに多いことだ。
いずれにせよ、この大げさな騒ぎはそろそろうんざりしてきた。自分のところをパッチして先に進もう。
追記：実際、この騒ぎの中で記事からは、これらのうちどれだけが一般的な設定でbrotli圧縮されたリクエストボディを実際にサポートしているのか、それともbrotliの別の使い方（悪いけど、そこまで致命的ではない）なのか、判別しにくい。
- cowsandmilk
記事はOpenAIが2月にこれを発見したと主張しているが、それは正しくないと思う。2月にGoogleがBrotliのソースコードに問題を修正する変更を加えたけど、それがセキュリティ問題だと気づいておらず、したがってリリースも切っていなかった、ということだと思う。
- flyingjoe
数か月前は、パッケージのアップグレードにクールダウンを設けるよう誰もが勧めていた。今ではセキュリティインシデントは即座に悪用されるから、そのクールダウンを常に上書きしている。
まあ、これからはそういうもんなんだろうな。
- tetha
まあ少なくとも、他のあらゆるものに対する大規模なパッチ作業が進む最中か、その前にこれについて知ることができた。とりあえず山に積んでおけばいい。
今週は誰がハードモードをオンにしたんだ？