Die HTTP2Shell-Sicherheitslücke in Brotli hat außerplanmäßige Sicherheitsupdates in mehreren Software-Ökosystemen ausgelöst. Die unter CVE-2026-111497 geführte Schwachstelle kann Abstürze verursachen, sensible Speicherinhalte offenlegen und möglicherweise die Ausführung von Code aus der Ferne ermöglichen, wenn Anwendungen schädliche Daten dekomprimieren.
Forscher identifizierten das Problem zunächst in Node.js, bevor sie eine umfassendere Gefährdung im zugrunde liegenden Brotli-Decoder entdeckten. Daher ist die Schwachstelle auch unter den Namen Node2Shell und Broccoli2Shell bekannt.
Die Sicherheitslücke betrifft mehr als nur Node.js
Brotli ist Googles quelloffene Technologie zur verlustfreien Komprimierung, die Dateigrößen reduziert, ohne den ursprünglichen Inhalt zu verändern. Die Schwachstelle betrifft die Decoder-Versionen 1.0.3 bis 1.0.9 sowie die Versionen 1.1.0 und 1.2.0.
Trotz ihres Namens betrifft HTTP2Shell nicht ausschließlich HTTP/2. Jede Anwendung, die von Angreifern kontrollierte Daten über eine anfällige Brotli-Implementierung dekomprimiert, kann gefährdet sein.
Zu den potenziell betroffenen Programmen gehören Python-basierte HTTP-Clients wie requests, httpx, urllib3[brotli] und aiohttp[speedups]. Allerdings hängt ihre Gefährdung davon ab, ob ihre Konfiguration einen betroffenen Decoder verwendet.
Microsoft hat ebenfalls außerplanmäßige .NET-Updates veröffentlicht. In seiner Sicherheitsmitteilung warnt das Unternehmen davor, dass eine erfolgreiche Ausnutzung eine Rechteausweitung auf Systemen mit anfälligen Konfigurationen ermöglichen könnte.
Wie die HTTP2Shell-Sicherheitslücke in Brotli den Speicher beschädigt
Der Fehler tritt auf, wenn der Decoder innerhalb eines speziell manipulierten komprimierten Datenstroms auf einen ungültigen Blockwechsel stößt. Anstatt die fehlerhaften Daten zurückzuweisen, interpretiert er diesen Zustand fälschlicherweise als Anforderung zusätzlicher Eingabedaten.
Infolgedessen fügt der Streaming-Decoder weiterhin Bytes zu einem internen Puffer mit einer Größe von acht Bytes hinzu. Diese Schreibvorgänge überschreiten schließlich die Puffergrenzen und beschädigen benachbarte Speicherbereiche.
Angreifer könnten dieses Verhalten ausnutzen, indem sie einer Anwendung, die eine URL abruft, eine schädliche komprimierte HTTP-Antwort bereitstellen. Alternativ könnten sie eine komprimierte Anfrage direkt an einen Server senden, der Brotli-Daten akzeptiert.
Zu den möglichen Folgen gehören Prozessabstürze, die Offenlegung von Speicherinhalten und die Ausführung von Code aus der Ferne. Sicherheitsforscher haben außerdem nachgewiesen, dass die Ausnutzung der Schwachstelle zur Codeausführung führen kann.
Korrigierte Versionen sind für mehrere Plattformen verfügbar
Entwickler integrierten bereits im Februar Korrekturen in den ursprünglichen Quellcode. Stabile Updates für Brotli und Node.js erreichten die Nutzer jedoch erst am 21. Oktober, gefolgt von der öffentlichen Bekanntgabe am 22. Oktober. Aktualisierte Python-Pakete wurden am 23. Oktober verfügbar.
Zu den korrigierten Versionen gehören:
| Software | Korrigierte Versionen |
|---|---|
| Google Brotli | 1.0.10, 1.1.1, 1.2.1 |
| Node.js | 22.23.4, 24.22.1, 26.12.1 |
| Python Brotli | 1.2.1 |
| Python brotlicffi | 1.2.1.0 |
Für die HTTP2Shell-Sicherheitslücke in Brotli sind inzwischen öffentlich zugängliche Proof-of-Concept-Exploits verfügbar. Dennoch lagen zum Zeitpunkt der Veröffentlichung keine Berichte über eine böswillige Ausnutzung bei tatsächlichen Angriffen vor.
Sicherheitsupdates erfordern Kontrollen über Systembibliotheken hinaus
Administratoren müssen betroffene Prozesse nach der Aktualisierung neu starten. Außerdem müssen sie betroffene Container-Images neu erstellen und bereitstellen, damit die Anwendungen die korrigierten Komponenten verwenden.
Die alleinige Aktualisierung der Brotli-Bibliothek des Betriebssystems kann dazu führen, dass Anwendungen weiterhin gefährdet bleiben. Node.js-Installationen und andere Software können eigene Kopien enthalten, die separat aktualisiert werden müssen.
Wenn eine sofortige Aktualisierung nicht möglich ist, können Unternehmen vorübergehend die Brotli-Unterstützung aus Python-Anwendungen entfernen und eingehende Brotli-komprimierte Anfragen über einen Proxyserver oder eine Firewall blockieren. Allerdings verhindert die alleinige Filterung eingehender Anfragen nicht, dass Anwendungen schädliche komprimierte HTTP-Antworten empfangen.
0 Kommentare zu „HTTP2Shell-Sicherheitslücke in Brotli führt zu dringenden Sicherheitsupdates“