Brotli осалдығы Node.js пен Microsoft-ты асықтырды
Жүйедегі кітапхананы жаңарту жеткіліксіз: Node.js пен Brotli-дің өз көшірмесі бар бағдарламаларды бөлек жаңартып, қайта іске қосу керек.
Фото: BleepingComputer
Google-дың деректерді сығуға арналған ашық Brotli кітапханасынан CVE-2026-111497 критикалық осалдығы табылды. Оны HTTP2Shell, сондай-ақ Broccoli2Shell және Node2Shell деп атап кетті. Қате бағдарлама жадын бүлдіруге мүмкіндік береді. Node.js пен Imperva компаниясының дерегінше, ол арқылы бөгде кодты қашықтан іске қосуға да болады. Microsoft жексенбіде, 25 қазанда, .NET үшін шұғыл жаңарту шығарды.
Brotli веб-беттер мен файлдарды желіде жылдамырақ жіберу үшін сығады. Оның декодері Node.js ортасына енгізілген, ал бұл ортада сансыз сервер мен веб-сервис жұмыс істейді. Brotli-дің 1.0.3–1.0.9 нұсқалары, сондай-ақ 1.1.0 мен 1.2.0 осал.
Шабуыл қалай жасалады
Декодердегі қатені әдейі бүлдірілген деректер блогы тудырады. Кітапхана оны формат қатесі деп емес, қосымша дерек сұрауы деп қабылдайды. Сөйтіп ол сегіз байттық буферге байт қоса беріп, шегінен шығады да, көрші жадты бүлдіреді.
Шабуыл екі жақтан келуі мүмкін. Шабуылдаушы сілтеме арқылы дерек жүктейтін бағдарламаға сығылған жауап береді не серверге сығылған сұрау жібереді. Атауына қарамастан, мәселе тек HTTP/2 хаттамасына қатысты емес. Сырттан келген Brotli деректерін ашатын кез келген қосымша қауіпте.
Node.js-тен бөлек желімен жұмыс істейтін танымал Python кітапханалары да осал: urllib3, requests, httpx және aiohttp. Бұл олар ескі Brotli декодерін қолданған жағдайда ғана. Microsoft .NET-тің осал нұсқасы орнатылған жүйелерде қате артықшылықтарды арттыруға жол ашатынын ескертті.
Нені жаңарту керек
Түзетулер Google Brotli 1.0.10, 1.1.1 және 1.2.1 нұсқаларында, Node.js 22.23.4, 24.22.1 және 26.12.1 нұсқаларында шықты. Python-дағы Brotli 1.2.1 мен brotlicffi 1.2.1.0 пакеттері де жаңартылды. Google мен Node.js тұрақты түзетулерді 21 қазанда шығарды, ал қате туралы келесі күні жария етілді.
Дайын эксплойттар, яғни шабуылдың жұмыс істейтін үлгілері жарияланып қойды. Нақты шабуылдар туралы BleepingComputer әзірге хабарламайды. Әкімшілерге жаңартып, процестерді қайта іске қосу және контейнерлерді қайта жинау ұсынылады. Brotli форматындағы кіріс сұрауларын бұғаттау көмектеспейді, себебі шабуыл сервер жауабымен де келе алады.
Бұл — бір апта ішінде негізгі веб-технологиялардан табылған екінші ірі осалдық. Оның алдында хакерлер PHP2Shell арқылы серверлерді бұза бастаған.
Дереккөздер: BleepingComputer — HTTP2Shell осалдығы туралы
