Вразливість HTTP2Shell у Brotli зачіпає не лише Node.js, а й HTTP-клієнти

Вразливість декодера Brotli, про яку спочатку повідомили у зв’язку з Node.js, зачіпає й інші бібліотеки та застосунки, що працюють з HTTP. Як пише Aikido 24 жовтня 2026 року, помилка CVE-2026-111497 виникає під час розпакування спеціально підготовлених даних. Виправлення вже доступні, але оновити залежність у репозиторії недостатньо: вразливий декодер може залишитися всередині зібраного застосунку або контейнера.

Чому Node2Shell стала HTTP2Shell

Brotli використовують для стиснення даних під час передавання через HTTP, зокрема HTML, CSS і JavaScript. Проблема — у декодері: підготовлений потік може призвести до запису за межами виділеної пам’яті. Уразливі версії Google Brotli від 1.0.3 до 1.2.0 на всіх платформах. Оцінка вразливості — 9,2 за CVSS 4.0.

Помилка проявляється під час перемикання блоків стисненого потоку. Раніше один результат функції міг означати як неправильний формат, так і брак вхідних даних. Код, що викликав функцію, не завжди розрізняв ці ситуації, а швидкий шлях обробки не перевіряв результат. Декодування могло продовжитися з попереднім станом блока; виправлення зупиняє його в разі помилки формату.

Зловмисник без облікового запису може передати такий потік і спричинити збій процесу, витік даних або потенційне виконання коду. Небезпека є в обох напрямках: сервер може розпаковувати тіло вхідного запиту, а HTTP-клієнт — відповідь стороннього сервера. Перевірки лише публічних маршрутів недостатньо.

OpenAI виявила помилку ще в лютому. Виправлення тоді потрапило у вихідний код Brotli, але його не розпізнали як виправлення проблеми безпеки, і реліз із ним вийшов лише тепер. Проєктам, які містять власну копію бібліотеки, потрібні окремі оновлені збірки: патч у вихідному коді не змінює вже запущений бінарний файл.

Де шукати вразливий декодер

У Python уразливі пакет Brotli версії 1.2.0 і старіші та brotlicffi гілки 1.2.0.x. Розробник не обов’язково імпортує їх безпосередньо. Якщо вони встановлені, urllib3 і requests, що працює через нього, можуть автоматично декодувати Brotli-відповіді. Цю можливість також використовують httpx із доповненням для Brotli та aiohttp за наявності пакета. Він може потрапити до проєкту й через іншу залежність, наприклад Scrapy.

Для Python виправлені версії — Brotli 1.2.1 і brotlicffi 1.2.1.0. Для Node.js названо 22.23.4, 24.22.1 і 26.12.1 у відповідних підтримуваних гілках; для Bun — 1.4.4. Виправлення для Envoy входять до 1.40.0, 1.39.3, 1.38.6 і 1.37.8, для Istio — до 1.29.9, 1.30.6 і 1.31.2. Водночас гілки Envoy 1.36 та Istio 1.29 більше не підтримуються, хоча виправлення для них теж зазначені в матеріалі. Системний пакет може отримати патч від постачальника без зміни номера версії на той, що збігається з релізом Brotli.

Є прогалина й у звичній перевірці залежностей. Станом на 23 жовтня бази рекомендацій ще не пов’язували цей CVE з пакетами Brotli та brotlicffi на PyPI. Тому pip-audit, Dependabot і Safety поки можуть не показати вразливу версію. Відсутність попередження не означає, що декодера немає.

Що робити сайтам і застосункам

Розробникам варто перевірити встановлені версії в усіх середовищах, зокрема в контейнерах, і повне дерево залежностей. Почати доцільно із сервісів, які приймають стиснені тіла запитів або звертаються до сторонніх серверів: наприклад, отримують сторінку для попереднього перегляду URL. Власнику сайту корисно з’ясувати, чи є в проєкті такі функції та чи оновлено компоненти, які обробляють дані для них.

Після оновлення потрібно заново створити файли фіксації версій, перезібрати застосунки й образи, розгорнути їх знову та перевірити компоненти в запущених процесах. Окремої уваги потребують вбудовані та статично зв’язані копії Brotli. Якщо сервісом керує постачальник, статус виправлення доведеться уточнити в нього.

Поки оновлення неможливе, вхідні запити з Content-Encoding: br можна відхиляти до розпакування. Для вихідних запитів самого лише видалення br з Accept-Encoding замало: сервер може надіслати Brotli-відповідь і без цього заголовка. Потрібно також вимкнути декодування таких відповідей або відхиляти їх до початку обробки тіла. У Python, де Brotli не є обов’язковим, можна тимчасово видалити обидва пакети й залежності, які встановлять їх знову. Але деякі відповіді після цього стануть нечитабельними, а декодери всередині інших компонентів нікуди не зникнуть.

Моя думка

Я б не починав із пошуку слова Brotli у власному коді. П’ятирічний «тимчасовий» сервіс цілком може розпаковувати відповіді через залежність, про яку його автор давно забув. Спочатку я б подивився на встановлені пакети й запущені образи, потім — на місця, куди надходять дані зі сторонніх серверів. Позначка у звіті сканера, який поки не пов’язує CVE з пакетами PyPI, цього разу заспокоює надто рано.

Джерела

Звідки новина. Текст — переказ своїми словами, факти — з джерела, думка — автора.

1. Node2Shell evolves to HTTP2Shell, blast radius affects many HTTP libs and apps www.aikido.dev

Про автора

Лев Іваненко

досвідчений full-stack-розробник

Створюю внутрішні кабінети й магазини, найчастіше розбираю старий код, який «тимчасово» працює вже п’ять років. У вільний час перевіряю, скільки бібліотек можна видалити без наслідків.

Усі публікації автора