CVE-2026-111497: „Brotli“ dekoderio spraga Node.js – kam aktuali ir kaip pasitikrinti per valandą

2026 m. spalio 21 d. Node.js projektas išleido saugumo leidimus 22.23.4, 24.22.1 ir 26.12.1. Kitą dieną „Google“ paskelbė įrašą CVE-2026-111497 apie savo glaudinimo bibliotekos „Brotli“ dekoderio spragą, o nuo spalio 22 d. istorija plito pavadinimu „Node2Shell“.

Spraga tikra ir rimta, tačiau siauresnė, nei skamba antraštės: ji slypi vienoje bibliotekoje ir pasiekiama tik ten, kur programa išskleidžia užpuoliko pateiktus „Brotli“ duomenis. Toliau – kas paskelbta, kam tai aktualu, kaip pasitikrinti per valandą ir kokia tvarka taisyti.

Kas paskelbta ir kada

Node.js pranešime priežastis aprašyta taip: netinkamą bloko perjungimą dekoderis pranešdavo kaip laikiną „reikia daugiau duomenų“ būseną, o ne kaip galutinę formato klaidą, todėl srautinis dekoderis toliau rašė įvesties baitus į aštuonių baitų vidinį buferį. Pasekmės – proceso atminties sugadinimas, strigtis, atminties turinio atskleidimas arba kodo vykdymas.

Tame pačiame spalio 21 d. leidime ištaisyta dešimt spragų (CVE), iš jų keturios įvertintos „high“; „Brotli“ spraga – viena iš jų.

Du skirtingi įvertinimai – Node.js projekto „high“ ir „Google“ CVSS 4.0 balas 9,2 – neprieštarauja vienas kitam: tai dviejų skirtingų vertintojų skalės. Mes remiamės abiem ir planuodami laikome spragą išnaudojama kiekvienoje paveiktoje šakoje.

Ką pavadinimas „Node2Shell“ pameta

„Node2Shell“ nėra nei CVE įrašo, nei Node.js projekto pavadinimas. Taip 2026 m. spalio 22 d. savo analizę pavadino „Imperva“ raudonoji komanda. Ji parodė, kad per „Brotli“ duomenis pateiktas kodas įvykdomas programoje, veikiančioje oficialiame Node.js 24.22.0 „Linux arm64“ atvaizde, o 24.22.1 tuos pačius duomenis atmeta. Tai vertingas nepriklausomas patvirtinimas.

Tačiau pavadinimas skamba taip, lyg kiaura būtų pati Node.js platforma, ir trys dalykai pametami:

• Spraga yra „Google“ bibliotekoje, ne Node.js kode. Node.js ją tik įsideda. Ta pati biblioteka naudojama ir kitur: pagal GHSA-9v8h-qqgm-4m35 paveikti ir PyPI paketai brotli (nuo 1.0.3 iki 1.2.1, neįskaitant) bei brotlicffi (nuo 1.0.3 iki 1.2.1.0, neįskaitant).
• Pasiekiamumas sąlyginis. Node.js aprašyme užpuolikas turi galėti pateikti „Brotli“ duomenis, kuriuos programa išskleidžia per node:zlib. Serveris, kuris niekada neišskleidžia svetimų „Brotli“ srautų, šio kelio neturi.
• Bandymų aprėptis ribota. „Imperva“ tikrino Node.js 24.22.0 su Express 5.0.0–5.3.0 ir body-parser 2.0.0–2.3.0; vykdymas jų aplinkoje pavykdavo ne iš pirmo karto. Kitų architektūrų ir 22.x ar 26.x rezultatų įraše nėra.

Kas nesikeičia: spraga tikra, pataisos išleistos, o kodo vykdymas parodytas standartiniame oficialiame atvaizde. Tai pakankamas pagrindas veikti dabar, bet pagal inventorių, o ne pagal antraštes.

Kam tai aktualu

Pirmiausia – šaka. Paveiktos 22.x, 24.x ir 26.x šakos turi pataisas; 20.x šaka, pagal Node.js leidimų grafiką gyvavimo pabaigą pasiekusi 2026-04-30, pataisos negauna. Antra – kelias. Svetimi „Brotli“ duomenys į dekoderį patenka dviem keliais, ir „Imperva“ įraše patikrinti abu:

1. Įeinančios užklausos kūnas. body-parser dokumentacijoje rašoma, kad visi analizatoriai palaiko automatinį gzip, br (brotli), deflate ir zstd išskleidimą, o nustatymas inflate pagal numatymą yra true. Jei kūno analizatorius pajungtas anksčiau nei prieigos tikrinimas, viešas POST su antrašte Content-Encoding: br pasiekia dekoderį dar iki autentifikacijos.
2. Išeinantis fetch(). Node.js įtaisytas fetch() išskleidžia suglaudintus atsakymus. Jei programa kreipiasi į serverius, kurių nevaldote, atsakymas yra svetimi duomenys.

Ko spraga neliečia: nginx savyje „Brotli“ neturi. Ją prideda atskiras ngx_brotli modulis, o jis, pagal savo aprašą, susideda iš dviejų dalių: filtro, kuris glaudina atsakymus, ir statinio modulio, kuris atiduoda iš anksto suglaudintus failus; užklausų kūnų išskleidimo apraše nėra. Jei modulio nėra, nginx šios bibliotekos neturi visai.

Kaip pasitikrinti per valandą

Visos komandos skaito jūsų pačių sistemas; nieko nesiunčia į išorę ir nieko nekeičia.

1. Surašykite kiekvieną Node.js aplinką – serverius, konteinerius, CI vykdytojus, darbo stotis. Kiekvienoje paleiskite node -v ir node -p process.versions.brotli. Jei antroji komanda rodo versiją nuo 1.0.3 (bet senesnę nei 1.0.10), 1.1.0 arba 1.2.0 – aplinka paveikta. Tikrinkite veikiančio proceso vykdomąjį failą (readlink /proc/<pid>/exe), ne tik tą, kurį PATH randa pirmą.
2. Pasitikrinkite, ar programa išskleidžia svetimus duomenis. npm ls body-parser express parodo versijas; peržiūrėkite, ar express.json(), express.raw() ar body-parser naudojami su numatytuoju inflate ir kur jie pajungti maršrutų eilėje. Atskirai surašykite, į kokius išorinius adresus programa kreipiasi per fetch().
3. Kraštas. nginx -V 2>&1 | grep -i brotli. Nėra – nginx bibliotekos neturi. Yra – modulio atnaujinimą derinkite su distribucijos libbrotli paketu.
4. Kitos kalbos tame pačiame serveryje. python3 -c "import brotli; print(brotli.__version__)". Klaida ModuleNotFoundError reiškia, kad paketo nėra; versija nuo 1.0.3 iki 1.2.1 (neįskaitant) – paveikta pagal GHSA.
5. Užsirašykite rezultatą su data – ką radote ir ko neradote. Neigiamas radinys vertingas tiek pat: niekas netaiso to, ko nėra, ir niekas nestabdo paslaugos be reikalo.

Kokia tvarka taisyti

Tvarka, kurios laikomės patys: pirmiausia grįžtamas žingsnis, kuris užveria kelią per minutes, paskui tikroji pataisa, galiausiai sprendimai, kuriems reikia žmogaus.

Pirmas žingsnis užklausoms su antrašte Content-Encoding: br grąžina kodą 415 dar prieš joms pasiekiant programą. Mūsų vertinimu, įprasti klientai ir naršyklės užklausų kūnų „Brotli“ formatu nesiunčia, todėl šis žingsnis retai ką nors sugadina. Jis neapsaugo išeinančio fetch() – šį kelią užveria tik atnaujinimas.

Ko nežinome

• Ar spraga jau išnaudojama realiose atakose. CISA žinomų išnaudojamų spragų kataloge (2026.10.23 versija) jos nėra, o CISA papildyme prie CVE įrašo 2026-10-23 išnaudojimas pažymėtas „none“. EPSS įvertis 2026-10-24 – 0,0071 (53-iasis procentilis), bet dviejų dienų senumo įrašui šis signalas silpnas.
• Ar kodo vykdymas pakartojamas kitose aplinkose. „Imperva“ aprašė tik Node.js 24.22.0 „Linux arm64“ atvejį; kitų architektūrų ar 22.x ir 26.x šakų duomenų nėra.
• Ar jūsų konkreti programa pasiekiama. Iš išorės to nematyti – atsakymą duoda tik aukščiau aprašytas inventorius, kurį sudarote patys arba jūsų administratorius.

Ribos

Šis straipsnis remiasi tik viešais įrašais: CVE.org, nodejs.org, „Imperva“, „GitHub“ saugumo pranešimų duomenų baze (GitHub Advisory Database), CISA ir FIRST. Mes neskenuojame jūsų sistemų ir nesiunčiame į jas jokių užklausų be rašytinio įgaliojimo.

Jei norite, kad spragos pasiekiamumą jūsų Node.js aplinkose peržiūrėtume kartu su jūsų administratoriumi pagal rašytinį susitarimą, aprašykite situaciją Northwestern Tideline užklausos formoje. Kaip tokios spragos atrodo Lietuvos įmonių svetainėse apskritai – spalio stebėjimo apžvalgoje.