Entwickler und große Technologieunternehmen haben dringende Sicherheitspatches veröffentlicht, um eine extrem kritische Schwachstelle namens HTTP2Shell (verfolgt unter der Kennung CVE-2026-111497 und auch bekannt unter den Namen Node2Shell und Broccoli2Shell) zu beheben, die die in Node.js und viele andere Softwareplattformen integrierte, in C geschriebene Dekomprimierungsbibliothek Brotli betrifft.
Die Schwachstelle betrifft die Brotli-Versionen 1.0.3 bis 1.0.9 sowie die Versionen 1.1.0 und 1.2.0. Das Problem wurde unter mehreren Namen gemeldet, da es zuerst in der Node.js-Umgebung entdeckt wurde, bevor sich herausstellte, dass derselbe Fehler im Brotli-Dekompressor Software in verschiedenen Technologieumgebungen betrifft.
Umfang der Auswirkungen und betroffene Systeme
Obwohl der Name HTTP2Shell die potenziellen Auswirkungen auf HTTP-Protokollclients und -server widerspiegelt, ist die Schwachstelle nicht auf HTTP/2 beschränkt, sondern erstreckt sich auf alle Anwendungen, die auf die Dekomprimierung von Brotli-Daten angewiesen sind, die von Angreifern kontrolliert werden. Zu den potenziell betroffenen Anwendungen gehören:
- Die beliebte Laufzeitumgebung Node.js.
- Python-HTTP-Bibliotheken wie urllib3, requests, httpx und aiohttp, wenn sie so konfiguriert sind, dass sie mit einem beschädigten Brotli-Dekompressor arbeiten.
- Von Microsoft herausgegebene Dringlichkeitssicherheitsupdates zur Bekämpfung der Schwachstelle in der .NET-Plattform, da deren Ausnutzung eine Revisionsausweitung auf den betroffenen Systemen ermöglicht.
Exploit-Mechanismus und technische Auswirkungen
Die Schwachstelle besteht in einem Pufferüberlauf (Buffer Overflow), bei dem der Fluss von speziell präparierten Brotli-Daten einen ungültigen Blockaustausch auslöst, den der Dekompressor als gültig behandelt und fälschlicherweise als Anforderung für weitere Eingaben interpretiert. Indem weiterhin Eingabebytes in einen internen Puffer von acht Byte Größe geschrieben werden, überschreitet der Schreibvorgang die zulässigen Grenzen und beschädigt den benachbarten Speicher.
Technische Berichte des Cybersecurity-Unternehmens Imperva haben gezeigt, dass die erfolgreiche Ausnutzung dieser Schwachstelle zum Absturz von Softwareprozessen, zur Offenlegung sensibler Speicherinhalte und letztendlich zur Remote-Code-Ausführung (RCE) führen kann.
Was ändert sich praktisch und wie sieht die Behebung aus?
Obwohl es derzeit keine Berichte gibt, die die Ausnutzung der Schwachstelle bei Cyberangriffen in freier Wildbahn bestätigen, macht die Verfügbarkeit von Proof-of-Concept-Exploits (PoC) ein schnelles Handeln von Systemadministratoren und Entwicklern erforderlich.
- Sofortige Updates: Aktualisierte Versionen zur Behebung des Fehlers wurden bereitgestellt für Google Brotli (1.0.10, 1.1.1 und 1.2.1), Node.js (Versionen 22.23.4, 24.22.1 und 26.12.1) sowie die betroffenen Python-Bibliotheken.
- Zusätzliche Maßnahmen: Nach der Installation der Updates müssen Administratoren betroffene Prozesse neu starten sowie Container-Images neu erstellen und erneut bereitstellen.
- Temporäre Workarounds: Falls ein sofortiges Update nicht möglich ist, wird empfohlen, die Brotli-Unterstützung in Python-Anwendungen vollständig zu entfernen und eingehende Brotli-Anfragen auf Proxy- oder Firewall-Ebene zu blockieren.