Обнаружение критической уязвимости в библиотеке сжатия данных Brotli, разработанной Google, выявило масштабные риски в средах разработки программного обеспечения. Исследователи присвоили ей название "Node2Shell" (зарегистрирована под номером CVE-2026-111497). Эта уязвимость вызвала техническую мобилизацию, включающую обновления безопасности от Microsoft, проекта Node.js и разработчиков пакетов Python, чтобы предотвратить риски удаленного выполнения кода (RCE).
Проблема заключается в дефекте типа "запись за пределами буфера" (out-of-bounds write) в версиях Brotli от 1.0.3 до 1.2.0. Google присвоила этой уязвимости уровень опасности 9.2 по шкале CVSS v4, что относит ее к категории критических. Эксплуатация этого дефекта приводит к повреждению памяти (memory corruption), что может вызвать сбой процессов, утечку содержимого памяти или, что еще хуже, позволить неавторизованному злоумышленнику выполнить произвольный программный код.
Почему эта угроза представляет техническую опасность?
Важность Brotli заключается в том, что это крайне популярная библиотека для сжатия данных, передаваемых через веб, а ее "декодер" встроен в огромное количество приложений и программных библиотек. Любое приложение, обрабатывающее сжатые данные из ненадежного источника — например, сжатые HTTP-запросы, ответы от внешних серверов или сжатые файлы — может быть подвержено взлому, если использует уязвимую версию.
Затронутые области и доступные исправления
Волна обновлений охватила несколько критически важных технологических секторов для обеспечения безопасности систем:
- Microsoft: выпустила обновления для сред .NET (версии 8.0.33, 9.0.22, 10.0.14), Visual Studio (2019, 2022, 2026), а также PowerShell (версии 7.4, 7.5, 7.6).
- Node.js и Python: были выпущены исправления для проекта Node.js и популярных пакетов Python, таких как Brotli и brotlicffi.
- Другие инструменты: обновления также затронули Bun, Envoy и Istio.
Что должны предпринять разработчики и администраторы?
Эксперты подчеркнули, что простого обновления библиотек в некоторых случаях может быть недостаточно, так как уже запущенные процессы продолжат использовать уязвимый код в памяти. Поэтому необходимо выполнить следующие шаги:
- Немедленное обновление библиотек: переход на версии Brotli 1.0.10, 1.1.1, 1.2.1 и выше.
- Перезапуск служб: необходимо перезапустить все затронутые службы и приложения, чтобы обеспечить загрузку нового кода и очистку памяти.
- Пересборка контейнеров: в средах облачных вычислений необходимо пересобрать образы контейнеров (Container Images) на основе обновленных базовых образов (Base Images), включающих исправления.