Η αμερικανική υπηρεσία CISA πρόσθεσε στις 27 Οκτωβρίου την ευπάθεια CVE-2026-111497 στον κατάλογο ευπαθειών που αξιοποιούνται ενεργά σε επιθέσεις. Πρόκειται για το κενό στον αποσυμπιεστή της βιβλιοθήκης Brotli της Google, γνωστό και ως Node2Shell ή HTTP2Shell, όπου ειδικά διαμορφωμένα συμπιεσμένα δεδομένα μπορούν να προκαλέσουν διαρροή μνήμης, κατάρρευση ή εκτέλεση κώδικα. Παγίδες ερευνητών κατέγραψαν ήδη απόπειρες επίθεσης. Οι διορθώσεις υπάρχουν στις εκδόσεις Brotli 1.0.10, 1.1.1 και 1.2.1 και στις Node.js 22.23.4, 24.22.1 και 26.12.1.

Τι σημαίνει: Όταν δημοσιεύτηκε το κενό, πριν από λίγες μέρες, ήταν μια σοβαρή αλλά θεωρητική απειλή. Η καταχώριση στον κατάλογο της CISA σημαίνει ότι πλέον γίνονται πραγματικές επιθέσεις, οπότε η ενημέρωση περνά από τον προγραμματισμό στο επείγον. Η Brotli χρησιμοποιείται για συμπίεση δεδομένων στο διαδίκτυο και βρίσκεται μέσα σε πολλά προϊόντα, από διακομιστές Node.js μέχρι proxies όπως το Envoy και εργαλεία Python, συχνά χωρίς ο διαχειριστής να το γνωρίζει. Αυτό κάνει δύσκολη την απογραφή: δεν αρκεί να ελέγξει κανείς αν χρησιμοποιεί τη βιβλιοθήκη απευθείας, πρέπει να δει και τις εξαρτήσεις των εφαρμογών και τα container images. Για ελληνικές ομάδες που τρέχουν Node.js σε παραγωγή, το πρώτο βήμα είναι η αναβάθμιση στις διορθωμένες εκδόσεις και η επανέκδοση των containers. Στη συνέχεια, εργαλεία ανάλυσης εξαρτήσεων μπορούν να εντοπίσουν παλιές εκδόσεις της Brotli σε άλλα πακέτα. Όπου η άμεση ενημέρωση δεν είναι δυνατή, αξίζει να εξεταστεί προσωρινή απενεργοποίηση της αποσυμπίεσης Brotli σε δεδομένα που στέλνουν εξωτερικοί χρήστες, και αυξημένη παρακολούθηση για ασυνήθιστες καταρρεύσεις διεργασιών.

Διαβάστε το πρωτότυπο στο SecurityWeek

Σχετική υπηρεσία: Ανάπτυξη λογισμικού

Σχετικές ειδήσεις