Se ha detectado una vulnerabilidad crítica (CVE-2026-111497) llamada "HTTP2Shell" en la librería de compresión Brotli, que afecta a Node.js, Python y .NET. Este fallo de desbordamiento de búfer permite a los atacantes corromper la memoria, acceder a datos sensibles e incluso ejecutar código remoto (RCE). Se recomienda actualizar inmediatamente a las versiones parcheadas y reiniciar los procesos afectados para mitigar el riesgo.

Un fallo crítico denominado 'HTTP2Shell' en Brotli, la biblioteca de decodificación C integrada en Node.js, podría permitir a los atacantes corromper la memoria y acceder a datos sensibles.

El problema de seguridad se rastrea como CVE-2026-111497 y también es conocido como “Broccoli2Shell” y “Node2Shell”. Afecta a las versiones de Brotli 1.0.3 a 1.0.9, 1.1.0 y 1.2.0.

La vulnerabilidad ha sido reportada bajo varios nombres porque inicialmente fue identificada en Node.js antes de que los investigadores descubrieran que el mismo fallo en el decodificador de Brotli podría afectar a software en múltiples ecosistemas.



El nombre HTTP2Shell refleja su impacto en clientes y servidores HTTP, aunque la vulnerabilidad no es específica de HTTP/2 y puede afectar a otras aplicaciones que descompriman datos de Brotli controlados por un atacante.

Aparte de Node.js, el software potencialmente afectado incluye clientes HTTP de Python como urllib3[brotli], requests, httpx y aiohttp[speedups], cuando están configurados con un decodificador de Brotli vulnerable, así como otras aplicaciones y herramientas que utilicen implementaciones vulnerables de Brotli.

El domingo, Microsoft lanzó una actualización de seguridad de emergencia para abordar el problema en .NET, advirtiendo que una explotación exitosa permite la escalada de privilegios en sistemas con una versión vulnerable de .NET.

Brotli es un proyecto de código abierto desarrollado y mantenido por Google para la compresión de datos sin pérdida. Reduce el tamaño de los archivos para que puedan transmitirse más rápido sin afectar los datos originales.

La vulnerabilidad Node2Shell es un desbordamiento de búfer que permite que un flujo comprimido con Brotli especialmente diseñado active un cambio de bloque inválido que el decodificador trata como válido y malinterpreta como una solicitud de más entrada.

Al continuar añadiendo bytes de entrada a un búfer interno de ocho bytes, la escritura se extiende más allá de sus límites, corrompiendo la memoria cercana.

“Un cambio de bloque inválido fue reportado como una necesidad temporal de más entrada en lugar de un error de formato permanente, por lo que el decodificador de flujo siguió añadiendo bytes de entrada a un búfer interno de ocho bytes”, explica Node.js en un aviso.

Un atacante puede explotarlo logrando que una aplicación descomprima datos maliciosos, por ejemplo, sirviendo una respuesta HTTP comprimida a una aplicación que obtiene una URL, o enviando una solicitud comprimida directamente a un servidor.

Node.js afirma que esto puede provocar la caída del proceso, exponer la memoria y permitir la ejecución remota de código (RCE).

Un informe reciente de la empresa de ciberseguridad Imperva confirma que la explotación de la vulnerabilidad Node2Shell CVE-2026-111497 puede conducir a RCE.

Las correcciones de Brotli se incorporaron primero al código fuente del proyecto en febrero, pero Node.js y Google lanzaron correcciones estables para los usuarios el 21 de octubre, seguidas de una divulgación pública al día siguiente. Los paquetes de PyPI que contienen las correcciones estuvieron disponibles el 23 de octubre.

Las versiones parcheadas son:

1. * Google Brotli 1.0.10, 1.1.1, 1.2.1
2. * Node.js 22.23.4, 24.22.1, 26.12.1
3. * Python Brotli 1.2.1
4. * Python brotlicffi 1.2.1.0

Se han publicado exploits de prueba de concepto (PoC) para Node2Shell, pero no hay informes de explotación maliciosa en el mundo real. No obstante, los usuarios deben priorizar la aplicación de las actualizaciones de seguridad disponibles.

Después de actualizar, los administradores deben reiniciar los procesos afectados, y las imágenes de contenedores afectadas deben ser reconstruidas y redeplegadas.

Un portal en línea dedicado a rastrear el impacto del fallo también advierte que actualizar la biblioteca Brotli del sistema no soluciona el riesgo en los despliegues de Node.js u otras aplicaciones que utilicen su propia copia integrada de la biblioteca.

Además, bloquear las solicitudes entrantes de Brotli todavía deja expuesta la ruta de respuesta HTTP maliciosa.

Si no es posible actualizar inmediatamente, la recomendación es eliminar el soporte de Brotli de las aplicaciones Python y bloquear las solicitudes entrantes comprimidas con Brotli a nivel de proxy o firewall.

Fuente:
BleepingComputer