Russian OSINT

Канал 🔨SecAtor пишет интересное: Продолжаем отслеживать критическую HTTP2Shell в библиотеке декодирования C Brotli, встроенной в Node.js, которая позволяет повредить память и получить доступ к конфиденциальным данным. Напомним, что CVE-2026-111497 также известна как Broccoli2Shell и Node2Shell, затрагивает версии Brotli от 1.0.3 до 1.0.9, 1.1.0 и 1.2.0. Проблема первоначально была выявлена в Node.js, после чего исследователи обнаружили, что аналогичный недостаток в декодере Brotli может затрагивать программное обеспечение в различных экосистемах. Наименование HTTP2Shell отражает его влияние на HTTP-клиенты и серверы, хотя уязвимость не является специфичной для HTTP/2 и может затронуть другие приложения, которые распаковывают контролируемые злоумышленником данные Brotli. Помимо Node.js потенциально уязвимым может быть ПО, включающее HTTP-клиенты на Python, такие как urllib3[brotli], requests, httpx и aiohttp[speedups], при использовании уязвимого декодера Brotli, а также другие использующие уязвимые реализации Brotli. На днях Microsoft выпустила экстренное обновление для устранения проблемы в .NET, предупредив, что успешная эксплуатация позволяет повысить привилегии в системах с уязвимой версией .NET. Node2Shell позволяет специально сформированному потоку, сжатому с помощью Brotli, вызвать недопустимое переключение блоков, которое декодер воспринимает как допустимое и ошибочно интерпретирует как запрос на дополнительные входные данные. Продолжая добавлять входные байты во внутренний восьмибайтовый буфер, запись выходит за его пределы, повреждая близлежащую память. Злоумышленник может воспользоваться этим, заставив приложение распаковывать вредоносные данные, например, отправляя сжатый HTTP-ответ приложению, получающему URL-адрес, или отправляя сжатый запрос непосредственно на сервер. В Node.js утверждают, что это может привести к сбою процесса, раскрытию памяти и RCE, что также подтверждает недавний отчет Imperva. Первые исправления для Brotli были внесены в исходный код проекта в феврале, но Node.js и Google выпустили стабильные исправления для пользователей 21 октября, а на следующий день последовало публичное раскрытие информации. Пакеты PyPI с исправлениями стали доступны 23 октября. Исправленные версии: Google Brotli 1.0.10, 1.1.1, 1.2.1; Node.js 22.23.4, 24.22.1, 26.12.1; Python Brotli 1.2.1; Python brotlicffi 1.2.1.0. Несмотря на публикации PoC для Node2Shell, сообщений о злонамеренной эксплуатации в реальных условиях нет. Помимо обновлений администраторам необходимо перезапустить затронутые процессы, а также пересобрать и повторно развернуть образы контейнеров. Согласно порталу с отслеживанием влияния проблемы, обновление системной библиотеки Brotli не устраняет риск в развертываниях Node.js или других приложениях, использующих собственную встроенную копию библиотеки. Кроме того, блокировка входящих запросов Brotli по-прежнему оставляет уязвимым путь для вредоносного HTTP-ответа. Если оперативно обновиться невозможно, рекомендуется удалить поддержку Brotli из приложений Python и заблокировать входящие запросы, сжатые с помощью Brotli, на уровне прокси-сервера или брандмауэра.