Vulnerabilitatea HTTP2Shell depășește cadrul protocolului HTTP, afectând .NET, FFmpeg, ClickHouse și Apache Arrow

Vulnerabilitatea HTTP2Shell depășește limita traficului web, o nouă analiză demonstrând cum aceeași vulnerabilitate a decodorului Brotli (CVE-2026-111497) poate afecta aplicațiile .NET, procesarea media FFmpeg, serverele ClickHouse și aplicațiile Apache Arrow.

Concluziile arată că verificarea exclusivă a versiunilor Node.js poate lăsa neobservate alte programe vulnerabile. În cadrul unei analize, specialiștii au urmărit CVE-2026-111497 prin mai multe stive de software.

Concluziile lor descriu blocări, coruperea memoriei și o buclă de decodare infinită, în funcție de modul în care fiecare aplicație utilizează biblioteca afectată.

Dezvăluită pentru prima dată în actualizările de securitate Node.js din 21 octombrie, vulnerabilitatea se află în decodorul Brotli al Google, nu în protocolul HTTP în sine. O schimbare de block invalidă poate fi confundată cu o solicitare de date suplimentare.

Procesarea continuă apoi cu starea decodorului afectată, permițând o scriere dincolo de bufferul de memorie prevăzut. Versiunile afectate includ Brotli 1.0.3 până la versiunile anterioare versiunii 1.0.10, 1.1.0 până la 1.1.1 și 1.2.0 până la 1.2.1.

Proiectele pot aplica remedierea fără a trece la aceste versiuni, astfel încât echipele trebuie să verifice înregistrările de patch-uri ale furnizorului, în loc să se bazeze doar pe numerele de versiune.

În FFmpeg, specialiștii au accesat decodorul prin intermediul bibliotecii libjxl, care procesează imagini JPEG XL. O imagine special creată conținea date Brotli modificate într-o casetă de metadate comprimată. Atunci când libjxl a decodat acele date, o corupere a memoriei a provocat o blocare în timpul eliberării resurselor.

Testul a demonstrat că atacatorul putea controla o valoare de pointer coruptă. Cu toate acestea, nu s-a reușit crearea unui exploit complet de executare de cod la distanță pentru FFmpeg.

JFrog a provocat, de asemenea, o eroare nativă prin intermediul API-urilor de decompresie Brotli ale .NET. Un flux în două etape a lăsat decodorul într-o stare nevalidă înainte ca o operațiune de memorie să depășească limitele datelor valide din heap. Spre deosebire de o eroare gestionată în mod normal, eroarea de segmentare rezultată a dus la închiderea procesului.

Apache Arrow a prezentat o eroare diferită. O intrare de 534 de octeți trimisă prin calea de decodare Brotli a pyarrow a provocat o buclă infinită care a consumat resurse ale procesorului și a blocat finalizarea operațiunii. Brotli 1.2.1 a respins aceeași intrare în mai puțin de o secundă.

Potrivit specialiștilor, au fost lansate remedieri pentru Node.js în versiunile 22.23.4, 24.22.1 și 26.12.1, notele de lansare ale versiunii 24.22.1 confirmând aplicarea patch-ului Brotli. Alte aplicații necesită propriile versiuni actualizate sau pachete de biblioteci.

Sursă: https://cybersecuritynews.com/http2shell-vulnerability/