Hivatalos Node.js-kiadáson is sikerült kódot futtatni a Brotli hibájával
Külön meggyengített tesztváltozat helyett egy hivatalos Node.js-konténerképen is támadói kódot futtattak az Imperva kutatói. A kritikus Brotli-hiba a 22.x, 24.x és 26.x ágakat érinti; a nem megbízható forrásból érkező tömörített adatokat feldolgozó alkalmazásokhoz már elérhető javítás.
Frissítés (2026. október 31.): újabb cikkünk az ügyről
Már kihasználják a Brotli hibáját, a Microsoft soron kívül javította a .NET-ben
Egy konkrét összeállításon bizonyították a kódfuttatást
A Node2Shell nevű demonstráció a hivatalos Node.js 24.22.0 Linux arm64 konténerképen működött, több próbálkozás után. A kutatók más architektúrákat, illetve a 22.x és 26.x ágakat nem tesztelték. A javított 24.22.1 ugyanazt a bemenetet elutasította, kódfuttatás nem történt.
A CVE-2026-111497 azonosítójú sérülékenység a beépített Brotli-dekódert érinti. Hibásan összeállított tömörített adatok feldolgozásakor az a kijelölt memóriaterületen túlra írhat. Október 22-ig nem jelentettek éles támadásokban történt kihasználást.
Kérésből és letöltött válaszból is elérhető a hibás dekóder
Az alkalmazás a beépített fetch() használatával kapott Brotli-tömörítésű válasz feldolgozásakor is elérheti a sérülékeny részt. A másik út a beérkező kéréstörzs kibontása: az Express 5 törzsfeldolgozói, például az express.json(), már támogatják ezt a tömörítést.
Egy egyszerű Node.js HTTP-kiszolgáló önmagában, pusztán a kérés fogadásától még nem bontja ki annak Brotli-tartalmát. Ehhez megfelelő köztes feldolgozó vagy kifejezett hívás szükséges.
A konténerképekbe is el kell juttatni a javítást
A Node.js október 21-én adott ki javításokat. Ezeknek a konténerképekbe és más, Node.js-futtatható állományt tartalmazó csomagokba is el kell jutniuk: ezeket a csomagleltár elvétheti.
Az Imperva átmenetileg a nem megbízható Brotli-forgalom korlátozását javasolta az érintett útvonalakon, ahol ez megoldható. A hibát csak a frissítés szünteti meg. A 20.x és korábbi, már nem támogatott ágak nem kapnak javítást.
Az ügy eddig
- Hivatalos Node.js-kiadáson is sikerült kódot futtatni a Brotli hibájával (ez a cikk)
- Már kihasználják a Brotli hibáját, a Microsoft soron kívül javította a .NET-ben
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum