【緊急通知 ⚠️】起身打「丁」 !! 「HTTP2Shell」世紀級漏洞登場，這個漏洞原本是 Node.js 中引發的「Node2Shell」9.2 分高危… · @hkepcmedia · TwKit

@hkepcmedia

【緊急通知 ⚠️】起身打「丁」 !! 「HTTP2Shell」世紀級漏洞登場，這個漏洞原本是 Node.js 中引發的「Node2Shell」9.2 分高危漏洞（CVE-2026-111497）。隨著調查深入後發現越來越「大件事」，原來該漏洞背後是源自 Google Brotli 資料壓縮解碼器中的記憶體越界寫入缺陷。這項技術廣泛應用於現代 HTTP 流量壓縮與解壓縮架構，全球包含 Node.js、Bun、C++、Python……（不能盡錄）開發軟體、反向代理伺服器及大量 HTTP 應用與程式庫皆受到波及，全球網絡將面臨極嚴峻的遠端代碼執行（RCE）及阻斷服務（DoS）攻擊。 根據資安情報團隊 Aikido Intel 指出，CVE-2026-111497 最初由 Node.js 官方於安全性更新中釋出修補，並由安全研究團隊命名為「Node2Shell」。然而，經過逆向工程與跨平台相依性比對後發現，問題核心並非 Node.js 本身的邏輯錯誤，而是其內建由 Google 開發的開源壓縮程式庫 Brotli（版本 1.0.3 至 1.2.0）存在嚴重的解碼邊界處理缺陷。 由於 Brotli 是目前網際網路標準中用於最佳化傳輸頻寬的核心技術之一，大量伺服器與中介軟體均預設啟用該壓縮演算法。資安機構確認其「爆炸半徑」（Blast Radius）遠超預期，正式將威脅升級為「HTTP2Shell」，警告任何處理 HTTP 壓縮內容的相關服務皆可能暴露於危險中。 根據 CVE 漏洞通報，「HTTP2Shell」仍會沿用 CVE-2026-111497，原本 CVSS 9.2 評分可能會進一步上修，它是屬於緩衝區溢位與越界寫入漏洞（CWE-787、CWE-252），存在於 Brotli 解碼器的 c/dec/decode.c 核心代碼中。 當目標伺服器或客戶端應用程式接收到特製的惡意 Brotli 壓縮資料流（例如帶有 Content-Encoding: br 的 HTTP 請求或回應）時，解碼器在未能正確校驗回傳值的狀態下展開資料，將導致記憶體堆疊毀損，攻擊者可利用此漏洞達成以下後果： ◾遠端代碼執行（RCE）： 資安研究人員已在特定架構的 Linux 環境下完成概念驗證（PoC），能藉由惡意 HTTP 封包取得底層主機執行權限。 ◾阻斷服務（DoS）： 觸發核心分段錯誤（Segmentation Fault），造成常駐程序崩潰重啟，中斷連線服務。 ◾敏感資訊外洩： 記憶體殘留讀取可能導致暫存於 Heap 中的 Token、加密金鑰或未授權資料外洩。 目前仍無法估計完整的受影響範圍，只知道受影響的開源生態系與執行環境相當龐大，包括︰ https://x.com/AikidoSecurity/status/2113759110625906950?s=20 ◾Node.js 執行環境： 22.x、24.x 與 26.x 之未修補版本，以及已終止支援（EOL）的舊版本（如 Node.js 20.x 及更早版本，官方不再釋出開源更新修補）。 ◾Bun 執行環境： 1.4.4 之前版本。 ◾Python 生態系： PyPI 上的 Brotli（<=1.2.0）與 brotlicffi（<=1.2.0.x）套件。相依於上述套件的常見 HTTP 請求庫（如 requests、urllib3、httpx、aiohttp 及 Scrapy 等爬蟲框架）在解析 Brotli 回應時均會觸發。 ◾反向代理與閘道器： Envoy（1.40.0 以前特定版本）、Istio 服務網格等。 ◾原生系統函式庫： 系統內建的 libbrotli（1.0.3 ～ 1.2.0）以及動態/靜態鏈結 Brotli 的 curl / libcurl 工具。 資安專家呼籲企業與網站管理者立即作出緊急防護與修補，採取的措施如下︰ ◾升級 Node.js 與 Bun： 立即將 Node.js 更新至 22.23.4、24.22.1 或 26.12.1 安全版本；Bun 需升級至 1.4.4 以上。使用 Node.js EOL 版本的用戶應盡速評估遷移架構或採用擴展維護方案。 ◾升級 C++ 版本至 1.0.10、1.1.1 及 1.2.1 安全版本或以上。 ◾立即更新 Python 相依套件至 1.2.1.0 版本或以上，並且在更新後務必重新建置容器映像檔（Container Images）與鎖定檔（Lockfile）。 ◾檢查 Linux 發行版的安全修補通告，升級 libbrotli 至 1.2.1（舊維護分支為 1.0.10 / 1.1.1），並同步更新 API Gateway、Envoy 與反向代理伺服器。 ◾以上這個修補清單只是暫時的，預期這份清單將會越來越長。 由於「HTTP2Shell」漏洞詳情已經公開，致使未修補伺服器的受攻擊風險大幅飆升，各位管理員必須作出緊急維護，以免成為攻擊目標。

曝光 1409 · 评论 1 · 点赞 27 · 书签 10