27 октября 2026 года Агентство по кибербезопасности и защите инфраструктуры США (CISA) подтвердило, что злоумышленники начали эксплуатировать критическую уязвимость Brotli, известную как Node2Shell, Broccoli2Shell и HTTP2Shell.
Предупреждение CISA от 27 октября: уязвимость Google Brotli CVE-2026-111497 добавлена в каталог KEV. Изображение: CISA
Уязвимость CVE-2026-111497 связана с записью за пределами буфера в декодере Brotli. Этот декодер распаковывает данные, сжатые с помощью широко распространенного алгоритма сжатия без потерь Brotli, разработанного Google.
Злоумышленники без привилегий могут использовать специально сформированный поток данных, сжатых Brotli, чтобы вызвать сбой или утечку памяти, а в некоторых случаях – добиться удаленного выполнения кода на устройствах с уязвимыми библиотеками или исполняемыми файлами Brotli.
Уязвимость затрагивает Node.js, .NET и HTTP-серверы
Проблему впервые обнаружили в среде выполнения JavaScript Node.js, однако она также затрагивает HTTP-серверы и клиенты, которые используют уязвимые реализации Brotli.
В воскресенье Microsoft также выпустила экстренное обновление безопасности .NET, предупредив, что злоумышленники могут использовать эту уязвимость для повышения привилегий в системах с уязвимой версией .NET.
CISA требует установить исправления до 10 ноября
27 октября CISA внесло уязвимость в каталог известных эксплуатируемых уязвимостей (KEV) и предписало федеральным ведомствам США установить исправления в течение двух недель – до 10 ноября, как того требует обязательная операционная директива BOD 26-04.
Агентство сообщило:
В Google Brotli присутствует уязвимость, связанная с отсутствием проверки возвращаемого значения. Она позволяет удаленному злоумышленнику без аутентификации с помощью специально сформированного потока данных, сжатых Brotli, повредить соседние области памяти, хранящие состояние декодера, раскрыть конфиденциальное содержимое памяти, вызвать отказ в обслуживании или потенциально выполнить произвольный код.
Злоумышленники часто используют уязвимости такого типа для атак, и они представляют серьезную угрозу для ИТ-инфраструктуры федеральных ведомств.
Хотя директива CISA BOD 26-04 распространяется только на федеральные ведомства, агентство призвало всех специалистов, отвечающих за защиту сетей, уделить первоочередное внимание устранению этой уязвимости, чтобы предотвратить атаки.
Командам безопасности, которые не могут немедленно установить обновления, следует блокировать входящие запросы, сжатые Brotli, на уровне прокси-сервера или межсетевого экрана либо отключить декодирование Brotli до установки исправлений.
После установки исправлений администраторам также необходимо перезапустить затронутые процессы, пересобрать образы затронутых контейнеров и повторно развернуть их.
