Ένα κρίσιμο σφάλμα εγγραφής εκτός ορίων μνήμης στον αποσυμπιεστή Brotli, με αναγνωριστικό CVE-2026-111497 και την ονομασία HTTP2Shell, επηρεάζει πολλά δημοφιλή λογισμικά που αποσυμπιέζουν δεδομένα από το δίκτυο. Το Envoy δημοσίευσε στις 23 Οκτωβρίου διορθωμένες εκδόσεις 1.40.0, 1.39.3, 1.38.6, 1.37.8 και 1.36.12. Διορθώσεις υπάρχουν επίσης για το Node.js στις εκδόσεις 22.23.4, 24.22.1 και 26.12.1, για το Bun 1.4.4 και για τις βιβλιοθήκες Python Brotli 1.2.1 και brotlicffi 1.2.1.0. Μετά την ενημέρωση πρέπει να επανεκκινηθούν οι διεργασίες και να ξαναχτιστούν τα container images που περιέχουν τη βιβλιοθήκη.

Τι σημαίνει: Η Brotli χρησιμοποιείται παντού για τη συμπίεση ιστοσελίδων και δεδομένων API, οπότε ένα σφάλμα στον αποσυμπιεστή της μπορεί να εκτεθεί σε οποιονδήποτε στέλνει δεδομένα σε έναν server ή σε μια εφαρμογή που κατεβάζει περιεχόμενο. Η εγγραφή εκτός ορίων μνήμης είναι από τις πιο επικίνδυνες κατηγορίες, γιατί σε ορισμένες συνθήκες οδηγεί σε εκτέλεση κώδικα και όχι μόνο σε κατάρρευση. Για τις ελληνικές επιχειρήσεις που τρέχουν εφαρμογές σε Node.js ή Python ή χρησιμοποιούν Envoy ως proxy, για παράδειγμα μέσα σε Kubernetes ή service mesh, η προτεραιότητα είναι σαφής: απογραφή του πού υπάρχει η βιβλιοθήκη, ενημέρωση στις διορθωμένες εκδόσεις και επανεκκίνηση. Η απλή εγκατάσταση νέου πακέτου δεν αρκεί αν οι διεργασίες συνεχίζουν να τρέχουν τον παλιό κώδικα στη μνήμη. Τα container images πρέπει να ξαναχτιστούν, γιατί συχνά περιέχουν αντίγραφο της βιβλιοθήκης που δεν ενημερώνεται από το λειτουργικό σύστημα του host. Τα εργαλεία σάρωσης εξαρτήσεων, όπως αυτά που ελέγχουν το SBOM, βοηθούν να βρεθούν και οι έμμεσες χρήσεις μέσα σε άλλα πακέτα. Για τους παρόχους υπηρεσιών που υπάγονται στο NIS2 ή στον DORA, η γρήγορη διαχείριση και καταγραφή αυτής της ενημέρωσης είναι μέρος των υποχρεώσεων διαχείρισης ευπαθειών και πρέπει να τεκμηριώνεται.

Διαβάστε το πρωτότυπο στο Envoy Proxy (GitHub Security Advisory)

Σχετική υπηρεσία: Ανάπτυξη λογισμικού

Σχετικές ειδήσεις