CISA предупредила об атаках через Node2Shell, патчи нужны до 10 ноября
Американское агентство по кибербезопасности CISA внесло уязвимость Node2Shell в каталог уже эксплуатируемых проблем. Исследователи зафиксировали попытки атак, но опубликованные данные не подтверждают, что они увенчались успехом.
Уязвимость CVE-2026-111497 также называют Broccoli2Shell и HTTP2Shell. Она связана с записью за пределами выделенной памяти в декодере библиотеки сжатия данных Brotli. Специально подготовленный сжатый поток может вызвать сбой приложения или раскрыть содержимое памяти, а иногда — дать атакующему возможность удалённо выполнить код. Проблема затрагивает версии Brotli с 1.0.3 по 1.2.0.
Уязвимость сначала обнаружили в среде выполнения JavaScript Node.js, но она затрагивает серверы и клиенты HTTP, использующие уязвимые реализации Brotli. Исследователи компании Imperva продемонстрировали выполнение кода на официальном образе Node.js. Однако эта демонстрация не означает, что зарегистрированные попытки атак привели к такому же результату.
CISA добавило уязвимость в каталог Known Exploited Vulnerabilities 27 октября, не раскрыв подробностей атак. Обязательный срок исправления установлен для федеральных гражданских ведомств США: уязвимость нужно устранить до 10 ноября. Остальным организациям агентство рекомендует установить обновления как можно скорее. Если обновить системы сразу нельзя, CISA советует блокировать входящие запросы со сжатием Brotli на прокси-сервере или межсетевом экране либо временно отключить декодирование Brotli. После установки исправлений нужно перезапустить затронутые процессы, а образы контейнеров пересобрать и развернуть заново.
Исправления уязвимости Node2Shell и попытки атак
Об уязвимости сообщили исследователи OpenAI. Node.js и Google выпустили исправления 21 октября. Обновления также подготовили Microsoft, сопровождающие два пакета Python, а также разработчики Bun, Envoy и Istio. Microsoft отдельно выпустила экстренное исправление для.NET: компания предупредила о возможности повышения привилегий в системах с уязвимой версией платформы. Palo Alto Networks распространяет срочные исправления для PAN-OS.
Компания Previdian сообщила об одной попытке эксплуатации 27 октября, которую зарегистрировала её сеть датчиков. Запрос поступил с IP-адреса в США. Компания считает признаки эксплуатации убедительными, но подчёркивает, что это не означает, что атака достигла цели.
Лаборатория ELLIO зарегистрировала вредоносный запрос 26 октября. Он был нацелен на Node.js 24.22.0 на системах x86-64. Днём ранее датчики лаборатории получали данные, сжатые Brotli, от общедоступного инструмента, который проверял, какие системы обрабатывают такие запросы. IP-адрес, с которого пришла последующая попытка атаки, ранее использовали для проверки VPN-устройств Palo Alto Networks и Fortinet и атак на другие уязвимости.
По анализу ELLIO, доставляющая часть обнаруженного эксплойта совпадала с опубликованным демонстрационным кодом, но заключительный этап не сработал. Ни один из 50 тестов на уязвимом экземпляре Node.js не дал атакующему командную оболочку. При этом лаборатория добилась выполнения кода в четырёх конфигурациях с официальной сборкой Node.js для x86-64. Неудачная попытка эксплуатации тоже может остановить атакуемый процесс и вызвать отказ в обслуживании.
Broadcom предупредила, что уязвимость затрагивает компонент SDDC Manager в VMware Cloud Foundation и vSphere Foundation, поскольку он использует Node.js. Для SDDC Manager 9.1.1 компания оценивает её как критическую с баллом CVSS 9,8, а версиям 9.0.x, 9.1.0 и 5.2.x присвоила оценку 7,5. Исправления для этих версий ещё готовятся; Broadcom опубликовала временные меры защиты.
