CISA попередила про експлуатацію критичної вразливості Node2Shell

У вівторок Агентство з кібербезпеки та захисту інфраструктури США (CISA) підтвердило, що зловмисники почали використовувати критичну вразливість Brotli, відому під назвами Node2Shell, Broccoli2Shell і HTTP2Shell.

Вразливість, якій присвоєно ідентифікатор CVE-2026-111497, має критичний рівень небезпеки. Вона пов’язана з виходом за межі буфера під час запису в декодері Brotli, який розпаковує дані, стиснені популярним алгоритмом безвтратного стиснення Google.

Зловмисники без спеціальних привілеїв можуть надіслати спеціально сформований потік Brotli. Це може спричинити аварійне завершення роботи або витік пам’яті, а в окремих випадках — віддалене виконання коду на пристроях із вразливими бібліотеками чи бінарними файлами Brotli.

Проблему спершу виявили в середовищі виконання JavaScript Node.js, однак вона також зачіпає HTTP-сервери та клієнти, які використовують вразливі реалізації Brotli.

У неділю Microsoft також випустила термінове оновлення безпеки для .NET. Компанія попередила, що зловмисники можуть скористатися вразливістю для підвищення привілеїв у системах із вразливою версією .NET.

У вівторок CISA додала вразливість до каталогу відомих експлуатованих вразливостей (KEV) і зобов’язала федеральні відомства США оновити системи до 10 листопада — упродовж двох тижнів, як передбачає обов’язкова директива BOD 26-04.

«У Google Brotli є вразливість, пов’язана з неперевіреним значенням, що повертається. Віддалений неавтентифікований зловмисник може пошкодити стан суміжної пам’яті декодера, розкрити її конфіденційний вміст, спричинити відмову в обслуговуванні або потенційно виконати довільний код за допомогою спеціально сформованого потоку Brotli», — повідомило агентство.

«Такі вразливості часто стають вектором атак зловмисників і становлять значний ризик для федеральної інфраструктури».

Директива BOD 26-04 поширюється лише на федеральні відомства, однак CISA закликала всіх фахівців із захисту мереж першочергово встановити виправлення, щоб заблокувати атаки.

Якщо служби безпеки не можуть негайно встановити оновлення, агентство радить блокувати вхідні запити зі стисненням Brotli на рівні проксі-сервера чи брандмауера або вимкнути декодування Brotli до моменту оновлення.

Після встановлення виправлень адміністраторам також потрібно перезапустити відповідні процеси, а також перебудувати й повторно розгорнути уражені образи контейнерів.

Нагадаємо, моделі з відкритими вагами можна запускати локально, але для цього апаратним платформам потрібні достатні обсяг пам’яті, міжкомпонентні з’єднання та обчислювальна гнучкість.