Във вторник Агенцията за киберсигурност и сигурност на инфраструктурата на САЩ (CISA) потвърди, че хакери са започнали да експлоатират критична уязвимост в Brotli, известна като Node2Shell, Broccoli2Shell и HTTP2Shell.
Проследявана като CVE-2026-111497, тази уязвимост с критична степен на опасност произтича от слабост за запис извън границите (out-of-bounds write) в декодера на Brotli, използван за разархивиране на данни, компресирани с широко популярния алгоритъм на Google за компресия без загуби Brotli.
Неоторизирани атакуващи без привилегии могат да използват специално създаден поток с Brotli компресия, за да предизвикат сривове или изтичане на памет, а в определени случаи и да постигнат отдалечено изпълнение на код на устройства с уязвими Brotli библиотеки или компилирани файлове.
Проблемът със сигурността първоначално беше идентифициран в средата за изпълнение на JavaScript Node.js, но засяга също HTTP сървъри и клиенти, които разчитат на уязвими реализации на Brotli.
В неделя Microsoft също пусна извънредно обновяване за сигурност за .NET, предупреждавайки, че атакуващите биха могли да го експлоатират, за да ескалират привилегии на системи с уязвима версия на .NET.
CISA добави уязвимостта към своя каталог с известни експлоатирани уязвимости (KEV) във вторник и нареди на правителствените агенции на САЩ да инсталират корекции за сигурност на своите системи в рамките на две седмици, до 10 ноември, съгласно задължителната оперативна директива (BOD) 26-04.
„Google Brotli съдържа уязвимост, свързана с непроверена върната стойност, която позволява на отдалечен неудостоверен атакуващ да повреди съседна памет за състоянието на декодера, да разкрие чувствително съдържание на паметта, да предизвика отказ на услуга или потенциално да изпълни произволен код посредством манипулиран поток с Brotli компресия“, заявиха от агенцията.
„Тези типове уязвимости са чест вектор на атака за киберпрестъпници и представляват значителен риск за федералните структури.“
Въпреки че директивата BOD 26-04 на CISA се отнася само за федералните агенции, агенцията по киберсигурност призова всички специалисти по мрежова защита да дадат приоритет на инсталирането на корекции за сигурност за този проблем, за да блокират входящите атаки.
Екипите по сигурност, които не могат да приложат обновленията незабавно, трябва да блокират входящите заявки с Brotli компресия на ниво прокси или защитна стена или да деактивират функцията за декодиране на Brotli, докато не отстранят уязвимостта.
След инсталиране на корекциите за сигурност администраторите трябва също така да рестартират засегнатите процеси и да прекомпилират и преразгърнат засегнатите контейнерни изображения.