Node2Shell-sårbarhed fundet i Go Brotli-bibliotek

Node2Shell-sårbarheden rækker ud over den oprindelige C-implementering og omfatter også et Go-bibliotek til Brotli-komprimering, som bruges af flere HTTP-projekter, oplyste Sweet Security den 25. oktober 2026. Sikkerhedsfirmaet identificerede en rettelse, der blev indsendt til Go-biblioteket den 23. oktober.

Vigtigste pointer

• Traefik, Fiber, Iris og fasthttp har afhængigheder af det berørte bibliotek.
• En afhængighed er ikke i sig selv nok til at fastslå, om en applikation er sårbar; versioner og konfiguration har betydning.

Sådan når Node2Shell-sårbarheden Go-projekter

Sweet Security-ingeniøren Tomer Ben Gera identificerede rettelsen til Go-biblioteket sammen med afhjælpningen for den oprindelige C-implementering. Virksomheden oplyste, at dens analyse viste, at den underliggende fejl i hukommelseshåndteringen også var blevet reproduceret i Go.

Det berørte bibliotek bruges direkte eller indirekte af flere Go HTTP-projekter. Fibers afhængighed går eksempelvis gennem fasthttp i version 2.52.9, hvor komprimerede anmodningskroppe, der kontrolleres af klienten, kan skabe en adgangsvej til sårbarheden.

Hvad sikkerhedsteams bør kontrollere

Sweet Security oplyste, at eksponeringen afhænger af bibliotekets version, af om en applikation bruger Brotli-kodning eller -afkodning, og af dens konfiguration. Virksomheden anbefalede organisationer at kortlægge HTTP-tjenester baseret på Go, kontrollere biblioteksversioner i forhold til rettede udgivelser og vurdere, om afkodning af Brotli-input kontrolleret af klienten er aktiveret.

Virksomheden anbefalede også at overvåge adfærd under kørsel for mulige tegn på udnyttelse, herunder uventet procesafvikling, usædvanlige udgående forbindelser og unormal hukommelsesadfærd i HTTP-arbejderprocesser. Den advarede om, at scannere, der baserer sig på kendte installationsstier og pakkeregistre, kan overse sårbare biblioteker.

Læs flere nyheder

Flere nyheder fra FinanceVelix

Ansvarsfraskrivelse

Denne FinanceVelix-artikel indeholder generel information og udgør ikke personlig finansiel, investeringsmæssig, juridisk eller skattemæssig rådgivning. Markedspriser, renter og økonomiske forhold kan ændre sig; investeringer indebærer risiko for tab. Oplysningerne afspejler det materiale, der var tilgængeligt på udgivelsestidspunktet, og kan ændre sig. Kontrollér selv vigtige oplysninger, og rådfør dig med en kvalificeret fagperson efter behov. Omtale af et aktiv, en virksomhed eller en tjeneste er ikke en anbefaling.