Node2Shell obejmuje pakiety Pythona. Sprawdź wersje Brotli i brotlicffi

Analiza opublikowana 23 października opisuje wpływ CVE-2026-111497 na pakiety Brotli i brotlicffi dla Pythona. Tego dnia zaktualizowano również komunikat w bazie GitHub. Sama luka była znana wcześniej.

Co potwierdzono

Problem znajduje się we wspólnej bibliotece dekodującej Brotli. Aktualizacja Node.js nie usuwa podatnych kopii używanych przez aplikacje Pythona.

Komunikat GitHub wymienia podatne pakiety Brotli w wersjach od 1.0.3 do poniżej 1.2.1 oraz brotlicffi od 1.0.3 do poniżej 1.2.1.0. Wskazane wydania naprawcze tych pakietów to odpowiednio 1.2.1 i 1.2.1.0. Dla samej biblioteki Brotli dostępne są także poprawione starsze gałęzie 1.0.10 i 1.1.1.

Jak powstaje zagrożenie

Klient HTTP może automatycznie rozpakowywać odpowiedzi Brotli, jeśli odpowiedni pakiet jest zainstalowany. Dane kontrolowane przez napastnika mogą więc dotrzeć do dekodera przez odpowiedź zewnętrznego serwera. Drugą drogą są skompresowane żądania, jeżeli aplikacja lub jej warstwa pośrednia je rozpakowuje.

Luka może powodować uszkodzenie pamięci. Demonstracja wykonania kodu w Node.js nie stanowi dowodu udanego ataku na aplikację Pythona.

Co zrobić teraz

• Sprawdzić wersje obu pakietów we wszystkich wdrożonych środowiskach.
• Zainstalować Brotli 1.2.1 i brotlicffi 1.2.1.0 lub nowsze wydania.
• Zaktualizować pliki ustalające wersje zależności, przebudować obrazy kontenerów i ponownie wdrożyć usługi.
• Jeśli dekodowanie Brotli jest zbędne, rozważyć usunięcie pakietów po sprawdzeniu zgodności aplikacji.

Samo usunięcie br z nagłówka Accept-Encoding nie gwarantuje ochrony przed złośliwą odpowiedzią serwera.

Komentarz SecurHUB

Przegląd zależności powinien obejmować działające wdrożenia. Audyty bezpieczeństwa pomagają ustalić, które usługi używają podatnego komponentu i wymagają ponownego wdrożenia.

Źródła: GitHub — komunikat bezpieczeństwa, Aikido — analiza