Одна ошибка в Brotli открыла RCE в Node.js, Python и десятках HTTP-библиотек
Node2Shell evolves to HTTP2Shell, blast radius affects many HTTP libs and apps
Уязвимость CVE-2026-111497 в декодере Brotli от Google (версии 1.0.3–1.2.0) позволяет удалённому атакующему без аутентификации повредить память и потенциально выполнить произвольный код — в обе стороны: вредоносный сервер атакует клиент, вредоносный клиент атакует сервер. Ошибку нашла OpenAI ещё в феврале, но исправление в исходниках так и не выпустили как релиз. Патчи уже есть для Node.js, Python, Bun, Envoy и Istio, но многие библиотеки и приложения остаются уязвимыми.
Корневая причина была исправлена в исходном коде Brotli в феврале, но тогда это не признали проблемой безопасности, и ни один релиз с исправлением не вышел до сих пор.
- netsharc
Ну, тот, кто выбрал имя HTTP2Shell, явно не использовал никакого интеллекта — ни искусственного, ни настоящего.
Оно настолько бессмысленное, широкое и не описывает реальную проблему. Нет, вероятно, это не затрагивает HTTP-сервер, за которым ничего нет, так почему же HTTP поливают грязью?
Можно было бы назвать это Exploit Pro Max...
- pimterry
Гораздо больше нравится название и сайт Broccoli2Shell (для той же уязвимости): https://broccoli2shell.com/. Во-первых, я почти уверен, что можно нарваться на это и без HTTP, если делать ручное декодирование Brotli; просто HTTP оказался наиболее частым случаем.
- Rapzid
> сообщили об этом как о неаутентифицированном удаленном выполнении кода, работающем в обоих направлениях
> но в то время это не было признано проблемой безопасности, и ни один релиз с исправлением не вышел до сих пор
Я всегда путаю свои опасные RCE-баги с безобидными RCE-багами.
Мне любопытно, как об этом сообщили и исправили еще в феврале, но никто не осознал важность. Случай автоматизации ИИ и никто за рулем?
- nairboon
Brotli2Shell кажется более подходящим названием для этого.
- bawolff
Мне кажется, удивительно то, сколько из них реализуют brotli-сжатие тел запросов (не только ответов), учитывая, насколько это малоизвестная функция.
В любом случае вся эта сенсационность начинает надоедать. Патчите свои штуки и двигайтесь дальше.
Редактировано: на самом деле, среди всей этой сенсационности трудно понять из статьи, сколько из них действительно поддерживают brotli-сжатые тела запросов в обычных конфигурациях, а сколько — какое-то другое использование brotli (что плохо, но далеко не так критично).
- cowsandmilk
В статье утверждается, что OpenAI нашли это в феврале, но я не думаю, что это верно. Я думаю, Google внес изменение в исходный код Brotli в феврале, которое исправляет проблему, но не осознал, что это проблема безопасности, и поэтому не выпустил релиз.
- flyingjoe
Несколько месяцев назад все советовали использовать задержки при обновлении пакетов. Теперь мы постоянно отменяем их, потому что инциденты безопасности будут эксплуатироваться немедленно.
Видимо, так теперь и будет.
- tetha
Ну, по крайней мере, мы знаем об этом во время или до того, как начнется гигантская работа по патчингу всего остального. Просто положите это в кучу.
Кто включил сложный режим на этой неделе?