La vulnerabilidad HTTP2Shell afecta a más que el tráfico web; nuevas investigaciones revelan que el fallo en el decodificador Brotli (CVE-2026-111497) puede comprometer aplicaciones .NET, el procesamiento de medios de FFmpeg, servidores ClickHouse y cargas de trabajo de Apache Arrow. Los hallazgos advierten que limitarse a revisar las versiones de Node.js puede dejar otros software expuestos sin detectar.

La vulnerabilidad HTTP2Shell va más allá del tráfico web; nuevas investigaciones muestran cómo el mismo fallo del decodificador Brotli (CVE-2026-111497) puede afectar a aplicaciones .NET, al procesamiento de medios de FFmpeg, a servidores ClickHouse y a cargas de trabajo de Apache Arrow.

Los hallazgos demuestran que si solo compruebas las versiones de Node.js, puedes pasar por alto otros software expuestos. En una investigación publicada el 25 de octubre, los investigadores de JFrog Aviv Engelberg, Eddy Tsalolikhin y Ofri Ouzan rastrearon el CVE-2026-111497 a través de varias pilas de software.

Sus conclusiones describen bloqueos, corrupción de memoria y un bucle de decodificación infinito, dependiendo de cómo utilice cada aplicación la librería afectada.

Divulgada inicialmente en las actualizaciones de seguridad de Node.js el 21 de octubre, la vulnerabilidad reside en el decodificador Brotli de Google y no en el protocolo HTTP en sí. Un cambio de bloque inválido puede confundirse con una solicitud de más datos de entrada.

El procesamiento continúa entonces con un estado del decodificador corrupto, lo que permite una escritura más allá del búfer de memoria previsto. Las versiones afectadas incluyen desde Brotli 1.0.3 hasta las versiones anteriores a la 1.0.10, la 1.1.0 antes de la 1.1.1, y la 1.2.0 antes de la 1.2.1.

Es posible que algunos proyectos apliquen la corrección sin cambiar a estas versiones oficiales, por lo que debes revisar los registros de parches del proveedor en lugar de confiar únicamente en los números de versión.

Vulnerabilidad HTTP2Shell

En FFmpeg, los investigadores llegaron al decodificador a través de libjxl, que procesa imágenes JPEG XL. Una imagen manipulada contenía datos de Brotli malformados dentro de un cuadro de metadatos comprimidos. Cuando libjxl decodificó esos datos, la corrupción de memoria provocó un fallo durante la limpieza.

La prueba mostró que el atacante tiene control sobre un valor de puntero corrupto. Sin embargo, no se estableció un exploit completo de ejecución remota de código (RCE) para FFmpeg.

Esta ruta basada en archivos se suma a las preocupaciones detalladas en informes anteriores sobre vulnerabilidades de archivos multimedia de FFmpeg y otros fallos de corrupción de memoria de FFmpeg. Dichos informes se refieren a vulnerabilidades distintas.

JFrog también provocó un fallo nativo a través de las API de descompresión Brotli de .NET. Un flujo de dos etapas dejó al decodificador en un estado inválido antes de que una operación de memoria se desplazara fuera de los datos válidos del heap. A diferencia de una excepción gestionada normal, el fallo de segmentación resultante terminó el proceso.

La demostración utilizó una aplicación de consola local. Sin embargo, rutas de decodificación relacionadas pueden servir para la descompresión de respuestas de HttpClient y el middleware de descompresión de solicitudes de ASP.NET Core. Microsoft anunció el 25 de octubre que estaba implementando actualizaciones para los runtimes y SDK compatibles.

ClickHouse falló tras recibir una solicitud HTTP manipulada con un cuerpo comprimido en Brotli de 23 MB. La corrupción del decodificador provocó un fallo durante la limpieza, deteniendo el servidor probado e interrumpiendo las consultas activas. JFrog informó que se había fusionado una corrección, pero no se había lanzado ninguna versión parcheada cuando apareció su investigación.

Apache Arrow mostró un fallo diferente. Una entrada de 534 bytes enviada a través de la ruta de decodificación Brotli de pyarrow provocó un bucle infinito que consumió la CPU y bloqueó la finalización. Brotli 1.2.1 rechazó la misma entrada en menos de un segundo. El problema de seguimiento de Arrow seguía abierto al momento de la publicación.

Según el equipo de investigación de amenazas de Sysdig, las correcciones de Node.js se lanzaron en las versiones 22.23.4, 24.22.1 y 26.12.1, y las notas de la versión 24.22.1 confirman el parche de Brotli. Otras aplicaciones requieren sus propias compilaciones actualizadas o paquetes de librerías.

Deberías rastrear los archivos, búferes, solicitudes y respuestas no confiables que lleguen al código de descompresión. El escáner de JFrog ayuda a identificar rutas potenciales, pero una coincidencia por sí sola no prueba la posibilidad de un exploit remoto.