Node2Shell-haavoittuvuus ulottuu alkuperäisen C-toteutuksensa ulkopuolelle Go:n Brotli-pakkauskirjastoon, jota useat HTTP-projektit käyttävät, Sweet Security kertoi 25. lokakuuta 2026. Tietoturvayhtiö tunnisti korjauksen, joka vietiin Go-kirjastoon 23. lokakuuta.

Keskeiset huomiot

  • Traefik, Fiber, Iris ja fasthttp ovat riippuvaisia haavoittuvasta kirjastosta.
  • Pelkkä riippuvuus ei kerro, onko sovellus haavoittuva; merkitystä on versioilla ja määrityksillä.

Näin Node2Shell-haavoittuvuus ulottuu Go-projekteihin

Sweet Securityn insinööri Tomer Ben Gera tunnisti Go-kirjastoon tehdyn korjauksen samalla, kun alkuperäisen C-toteutuksen korjaustoimia selvitettiin. Yhtiön mukaan sen analyysi osoitti, että taustalla oleva muistinhallinnan virhe oli toistunut myös Go:ssa.

Useat Go:n HTTP-projektit käyttävät kyseistä kirjastoa suoraan tai epäsuorasti. Esimerkiksi Fiberin riippuvuus kulkee fasthttp:n version 2.52.9 kautta, missä asiakkaan hallitsemat pakatut pyyntörungot voivat avata reitin haavoittuvuuden hyödyntämiseen.

KohdeTiedot
TraefikSuora riippuvuus, jota Compress-väliohjelmisto käyttää lähtevien Brotli-vastausten koodaamiseen.
FiberEpäsuora riippuvuus fasthttp:n version 2.52.9 kautta; pyyntörungon purku on käytettävissä Ctx.Body()- ja JSON BodyParser -toimintojen kautta.
IrisSuora riippuvuus, joka tukee vastausten koodausta ja pyyntöjen purkamista.
fasthttpSuora riippuvuus version 1.73.0 kautta; siirtyi vaihtoehtoiseen ratkaisuun versiossa 1.74.0.

Mitä tietoturvatiimien tulisi tarkistaa

Sweet Securityn mukaan altistuminen riippuu kirjaston versiosta, siitä, käyttääkö sovellus Brotli-koodausta tai -purkua, sekä sovelluksen määrityksistä. Yhtiö kehotti organisaatioita kartoittamaan Go-pohjaiset HTTP-palvelut, tarkistamaan kirjastoversiot korjattuihin julkaisuihin verrattuna ja arvioimaan, onko asiakkaan hallitseman Brotli-syötteen purku käytössä.

Yhtiö suositteli myös ohjelmiston suorituksenaikaisen toiminnan valvontaa mahdollisten hyökkäysmerkkien varalta. Tällaisia merkkejä ovat esimerkiksi odottamaton prosessien suoritus, epätavalliset lähtevät yhteydet ja HTTP-työprosessien poikkeava muistinkäyttö. Yhtiö varoitti, että tunnettuja asennuspolkuja ja pakettirekistereitä hyödyntävät skannerit saattavat jättää haavoittuvat kirjastot havaitsematta.

Lue lisää uutisia

Lisää FinanceVelix-uutisia

Vastuuvapauslauseke

Tämä FinanceVelix-artikkeli tarjoaa yleistä tietoa, ei henkilökohtaista talous-, sijoitus-, laki- tai veroneuvontaa. Markkinahinnat, korot ja taloudelliset olosuhteet voivat muuttua; sijoittamiseen liittyy tappion riski. Faktat perustuvat julkaisuhetkellä saatavilla olleeseen aineistoon ja voivat muuttua. Tarkista tärkeät tiedot itsenäisesti ja ota tarvittaessa yhteyttä pätevään ammattilaiseen. Omaisuuserän, yrityksen tai palvelun mainitseminen ei tarkoita sen suosittelua.