Ce înseamnă HTTP2Shell
CVE-2026-111497 a fost discutată inițial și sub numele Node2Shell. Denumirea HTTP2Shell subliniază că o componentă Brotli vulnerabilă poate exista în mai multe medii de execuție și produse, nu doar într-o aplicație Node.js.
Întrebarea utilă pentru evaluarea expunerii este concretă: poate o sursă în care aplicația nu poate avea încredere să trimită date Brotli unei componente vulnerabile care le decomprimă? Simplul fapt că un website folosește HTTPS nu oferă răspunsul.
De ce contează sensul în care circulă datele
Anunțul Node.js descrie o scriere în afara unui buffer al decodorului Brotli. Datele comprimate incorect pot corupe memoria procesului, cu efecte care includ oprirea procesului, divulgarea de memorie sau executarea de cod.
Compresia fișierelor trimise de website și decomprimarea datelor primite sunt operații diferite. Trebuie urmărite atât cererile primite, cât și răspunsurile externe pe care aplicația le prelucrează. Un nume de extensie sau o setare din server nu reprezintă singure un inventar al tuturor acestor trasee.
Actualizările Node.js de la divulgare
Proiectul Node.js a publicat actualizări pentru ramurile 22.x, 24.x și 26.x la 21 octombrie 2026. Tabelul arată versiunile inițiale corectate. La implementare se verifică și recomandările ulterioare, compatibilitatea aplicației și eventualele corecții furnizate separat de platforma de găzduire.
| Ramură | Versiune corectată inițial |
|---|---|
| 22.x | 22.23.4 |
| 24.x | 24.22.1 |
| 26.x | 26.12.1 |
Verifică mediul Node.js folosit de aplicație
Comanda de mai jos afișează versiunea Node.js, calea executabilului și versiunea Brotli raportată de acesta. Ruleaz-o în mediul aplicației, inclusiv în container dacă aplicația este împachetată astfel. Nu este un test de exploatare și nu aplică actualizări.
node -p 'JSON.stringify({ node: process.versions.node, brotli: process.versions.brotli, executabil: process.execPath }, null, 2)'Un proces deja pornit poate folosi alt executabil decât cel din terminal. Compară pachetul complet cu buletinul furnizorului; versiunea Brotli raportată nu este singură un verdict de vulnerabilitate.
O dependență ascunsă cere un inventar mai bun
Buletinul AWS arată de ce trebuie diferențiate serviciile gestionate de componentele și imaginile administrate de client. Corectarea unei platforme nu actualizează automat fiecare imagine proprie sau fiecare mediu împachetat în aplicație.
Recomandarea noastră operațională este să verificăm separat mediul de construire, imaginea distribuită și procesele active. Acest inventar poate fi păstrat împreună cu documentația lansării, astfel încât verificarea să nu înceapă de la zero la următoarea alertă.
- Identifică aplicațiile care decomprimă date Brotli din surse externe.
- Verifică runtime-ul și bibliotecile împachetate în imagini sau produse.
- Aplică pachetele corectate conform recomandărilor furnizorului.
- Reconstruiește și redistribuie imaginile proprii afectate.
- Confirmă ce versiune rulează efectiv și testează fluxurile de import sau integrare.
Ce trebuie să rămână după remediere
O evidență utilă leagă fiecare aplicație de dependența verificată, versiunea activă și rezultatul testelor. Astfel, echipa poate spune ce a remediat și pe ce dovezi se bazează.
Filtrarea și monitorizarea pot ajuta în timpul intervenției. Decizia privind expunerea și remedierea se ia însă pentru componenta concretă și traseul de date identificat, nu doar după numele popular al vulnerabilității.
Surse și verificare
Informațiile tehnice au fost verificate la 31 octombrie 2026. Starea pachetelor și recomandările furnizorilor se pot modifica; înaintea unei intervenții se consultă anunțul curent pentru produsul folosit.