Kaj se je zgodilo
Raziskovalci podjetja JFrog so odkrili, da ranljivost CVE-2026-111497, znana pod imenom HTTP2Shell, ne predstavlja tveganja le za Node.js, temveč tudi za druge sisteme, ki za dekompresijo podatkov uporabljajo knjižnico Brotli. Po navedbah CERT RS (BiH) raziskava kaže na možnost rušenja aplikacij, poškodbe pomnilnika in neskončnih zank v procesih dekodiranja.
Po podatkih NVD gre za prekoračitev medpomnilnika (buffer overflow) v Brotli dekoderju (c/dec/decode.c), ki prizadene različice Google Brotli od 1.0.3 do 1.2.0 na vseh platformah. Oddaljen neavtenticiran napadalec lahko s posebej pripravljenim Brotli stisnjenim podatkovnim tokom poškoduje sosednji pomnilnik dekoderja, razkrije vsebino občutljivega pomnilnika, povzroči zavrnitev storitve ali potencialno izvede poljubno kodo.
Po navedbah Cyber Security News so raziskovalci JFrog Aviv Engelberg, Eddy Tsalolikhin in Ofri Ouzan ranljivost sledili skozi več programskih skladov. Ranljivost je bila prvič razkrita v varnostnih posodobitvah Node.js 21. oktobra, vendar se nahaja v Googlovem Brotli dekoderju, ne v samem HTTP protokolu. Napačno prepoznan preklop bloka lahko dekoder zmede, da nadaljuje delo s poškodovanim notranjim stanjem, kar omogoči pisanje izven predvidenega pomnilniškega medpomnilnika.
Testiranja so po navedbah CERT RS pokazala, da lahko posebej pripravljeni podatki povzročijo padec .NET aplikacij, FFmpeg procesov in ClickHouse strežnikov, medtem ko lahko Apache Arrow vstopi v neskončno zanko, ki porabi procesorski čas.
Kaj to pomeni za slovenska in evropska podjetja
Problem je posebej pomemben, ker se ranljivo kodo lahko sproži skozi različne vstopne točke, vključno s HTTP zahtevami, stisnjenimi odgovori in multimedijskimi datotekami. Zato preverjanje verzije Node.js ni dovolj za ugotavljanje izpostavljenosti. Podjetja, ki uporabljajo .NET, FFmpeg, ClickHouse ali Apache Arrow v produkcijskem okolju, bi morala preveriti, ali njihove aplikacije vsebujejo prizadeto Brotli knjižnico, tudi če te komponente niso neposredno povezane z Node.js okoljem.
NVD je ranljivosti dodelil osnovno oceno CVSS 4.0 9.2 (CRITICAL), EPSS vrednost pa je po podatkih z dne 25. oktobra 2026 znašala 32,8 odstotka, kar nakazuje razmeroma visoko verjetnost izkoriščanja glede na model EPSS. Ranljivost trenutno ni uvrščena na seznam CISA KEV.
Priporočeni ukrepi
Organizacijam se priporoča, da preverijo, katere aplikacije uporabljajo knjižnico Brotli, in namestijo razpoložljive varnostne popravke. Prizadete nadgradnje vključujejo Brotli različice 1.0.3 do pred 1.0.10, 1.1.0 pred 1.1.1 in 1.2.0 pred 1.2.1. Ker nekateri projekti popravek uvedejo, ne da bi spremenili uradno različico, morajo ekipe preverjati tudi zapise o popravkih posameznih proizvajalcev, ne zgolj številke različic. Spremljajte tudi obvestila proizvajalcev za konkretne izdelke in pakete, saj sama prisotnost ranljive knjižnice ne pomeni nujno, da je aplikacija dejansko izpostavljena.
Pogosta vprašanja
Kaj je HTTP2Shell ranljivost?
HTTP2Shell je ime za ranljivost CVE-2026-111497, ki se nahaja v Brotli dekoderju in lahko povzroči prekoračitev medpomnilnika pri obdelavi posebej pripravljenih stisnjenih podatkov.
Kateri sistemi so poleg Node.js še prizadeti?
Po navedbah raziskave JFrog so prizadeti tudi .NET aplikacije, FFmpeg, ClickHouse strežniki in Apache Arrow, saj vsi uporabljajo Brotli knjižnico za dekompresijo podatkov.
Katere različice Brotli je treba posodobiti?
Prizadete so različice od 1.0.3 do 1.2.0. Posodobiti je treba na 1.0.10, 1.1.1 ali 1.2.1, pri čemer nekateri projekti popravek uvedejo brez spremembe uradne številke različice.
Ali je ranljivost na seznamu CISA KEV?
Ne, glede na preverjene podatke ranljivost trenutno ni uvrščena na seznam CISA KEV.
Sorodne objave
- GraphQL-core: ranljivost DoS v validacijskem pravilu OverlappingFieldsCanBeMerged
- Pegasus vohunska programska oprema potrjena na iPhonu rektorja beograjske univerze tik pred volitvami v Srbiji
- Zlonamerna programska oprema PEERSTITCH izkorišča ranljivost v FortiOS za zaobidenje preverjanja VPN-sej