개발자들과 주요 기술 기업들은 Node.js 환경 및 여러 다른 소프트웨어 플랫폼에 내장된 C 언어 기반 압축 해제 라이브러리인 Brotli에 영향을 미치는 HTTP2Shell(CVE-2026-111497로 추적되며 Node2Shell 및 Broccoli2Shell로도 알려짐)이라는 매우 치명적인 취약점을 해결하기 위해 긴급 보안 패치를 배포했습니다.
이 취약점은 Brotli 1.0.3부터 1.0.9까지의 버전과 1.1.0 및 1.2.0 버전에 영향을 미칩니다. 이 문제는 Node.js 환경에서 먼저 발견된 후 Brotli 압축 해제기 자체의 동일한 결함이 다양한 기술 환경의 소프트웨어에 영향을 미친다는 사실이 밝혀졌기 때문에 여러 이름으로 보고되었습니다.
영향 범위 및 피해 시스템
HTTP2Shell이라는 명칭은 HTTP 프로토콜 클라이언트 및 서버에 대한 잠재적 영향을 반영하지만, 이 취약점은 HTTP/2에만 국한되지 않고 공격자가 제어하는 Brotli 데이터의 압축 해제에 의존하는 모든 애플리케이션으로 확장됩니다. 영향을 받을 수 있는 잠재적 애플리케이션은 다음과 같습니다:
- 인기 있는 Node.js 런타임 환경.
- 영향을 받는 Brotli 압축 해제기와 함께 작동하도록 설정된 경우 urllib3, requests, httpx, aiohttp와 같은 Python의 HTTP 라이브러리.
- 취약점 악용 시 감염된 시스템에서 권한 상승이 가능하므로 Microsoft가 .NET 플랫폼에서 취약점에 대응하기 위해 배포한 긴급 보안 업데이트.
악용 메커니즘 및 기술적 영향
이 취약점은 버퍼 오버플로(Buffer Overflow) 결함으로, 특별히 제작된 Brotli 데이터 스트림이 압축 해제기에 의해 유효한 것으로 처리되고 더 많은 입력을 요청하는 것으로 잘못 해석되는 잘못된 블록 전환 동작을 유발합니다. 8바이트 크기의 내부 버퍼에 입력 바이트를 계속 추가함으로써 쓰기 작업이 허용된 경계를 초과하여 인접한 메모리를 손상시킵니다.
사이버 보안 회사 Imperva가 발표한 기술 보고서에 따르면 이 취약점 악용에 성공할 경우 소프트웨어 프로세스 충돌, 민감한 메모리 내용 노출, 더 나아가 원격 코드 실행(RCE)으로 이어질 수 있습니다.
실제적인 변경 사항 및 조치 방법
실제 사이버 공격에서 이 취약점이 악용되었음을 확인하는 현재 보고는 없지만, 악용 가능한 개념 증명(PoC) 코드가 공개되었으므로 시스템 관리자와 개발자의 빠른 조치가 필요합니다.
- 즉각적인 업데이트: Google Brotli(1.0.10, 1.1.1, 1.2.1) 및 Node.js(버전 22.23.4, 24.22.1, 26.12.1)와 영향을 받는 Python 라이브러리에서 결함을 해결하는 업데이트된 버전이 제공되었습니다.
- 추가 조치: 업데이트를 설치한 후 관리자는 영향을 받는 프로세스를 다시 시작하고 컨테이너(Container) 이미지를 다시 빌드하여 재배포해야 합니다.
- 임시 우회책: 즉각적인 업데이트가 불가능한 경우, Python 애플리케이션에서 Brotli 지원을 완전히 제거하고 프록시 또는 방화벽 수준에서 들어오는 Brotli 요청을 차단하는 것이 권장됩니다.