Die Node2Shell-Schwachstelle ist nicht auf ihre ursprüngliche Implementierung in C beschränkt, sondern betrifft auch eine Go-Brotli-Kompressionsbibliothek, die von mehreren HTTP-Projekten verwendet wird, teilte Sweet Security am 25. Oktober 2026 mit. Das Sicherheitsunternehmen identifizierte eine Korrektur, die am 23. Oktober in die Go-Bibliothek eingespielt wurde.

Die wichtigsten Erkenntnisse

  • Traefik, Fiber, Iris und fasthttp weisen Abhängigkeiten von der betroffenen Bibliothek auf.
  • Eine Abhängigkeit allein belegt nicht, ob eine Anwendung verwundbar ist; Versionen und Konfiguration sind entscheidend.

Wie die Node2Shell-Schwachstelle Go-Projekte erreicht

Der Sweet-Security-Ingenieur Tomer Ben Gera identifizierte die Korrektur für die Go-Bibliothek zusammen mit der Behebung für die ursprüngliche C-Implementierung. Das Unternehmen erklärte, seine Analyse habe ergeben, dass der zugrunde liegende Fehler in der Speicherverwaltung auch in Go reproduziert worden sei.

Die betroffene Bibliothek wird direkt oder indirekt von mehreren Go-HTTP-Projekten verwendet. Die Abhängigkeit von Fiber läuft beispielsweise über fasthttp in Version 2.52.9, wo von Clients kontrollierte komprimierte Request-Bodies einen Angriffsweg zur Schwachstelle eröffnen könnten.

PunktDetails
TraefikDirekte Abhängigkeit, die von der Compress-Middleware zum Kodieren ausgehender Brotli-Antworten verwendet wird.
FiberIndirekte Abhängigkeit über fasthttp in Version 2.52.9; das Dekodieren von Request-Bodies ist über Ctx.Body() und JSON BodyParser möglich.
IrisDirekte Abhängigkeit mit Unterstützung für Antwortkodierung und Request-Dekodierung.
fasthttpDirekte Abhängigkeit bis Version 1.73.0; in Version 1.74.0 wurde auf eine Alternative umgestellt.

Was Sicherheitsteams überprüfen sollten

Laut Sweet Security hängt die Gefährdung von der Bibliotheksversion, der Verwendung von Brotli-Kodierung oder -Dekodierung durch eine Anwendung sowie ihrer Konfiguration ab. Das Unternehmen empfahl Organisationen, ihre Go-basierten HTTP-Dienste zu erfassen, die Bibliotheksversionen mit gepatchten Releases abzugleichen und zu prüfen, ob das Dekodieren von Brotli-Eingaben aktiviert ist, die von Clients kontrolliert werden.

Das Unternehmen empfahl außerdem, das Laufzeitverhalten auf mögliche Anzeichen einer Ausnutzung zu überwachen, darunter unerwartete Prozessausführungen, ungewöhnliche ausgehende Verbindungen und auffälliges Speicherverhalten in HTTP-Worker-Prozessen. Es warnte, dass Scanner, die sich auf bekannte Installationspfade und Paketregister stützen, verwundbare Bibliotheken möglicherweise übersehen.

Weitere Nachrichten lesen

Weitere Nachrichten von FinanceVelix

Haftungsausschluss

Dieser Artikel von FinanceVelix dient der allgemeinen Information und stellt keine personalisierte Finanz-, Anlage-, Rechts- oder Steuerberatung dar. Marktpreise, Zinssätze und wirtschaftliche Bedingungen können sich ändern; Anlagen sind mit Verlustrisiken verbunden. Die Angaben entsprechen dem zum Veröffentlichungszeitpunkt verfügbaren Material und können sich ändern. Prüfen Sie wichtige Informationen unabhängig und wenden Sie sich bei Bedarf an eine qualifizierte Fachkraft. Die Erwähnung eines Vermögenswerts, eines Unternehmens oder einer Dienstleistung stellt keine Empfehlung dar.