Sweet Securityは2026年10月25日、Node2Shell脆弱性が当初のC実装にとどまらず、複数のHTTPプロジェクトで使われているGo製Brotli圧縮ライブラリにも及ぶと発表した。同社によると、Goライブラリには10月23日に修正が反映された。

主なポイント

  • Traefik、Fiber、Iris、fasthttpは、影響を受けるライブラリに依存している。
  • 依存関係があるだけでは、アプリケーションが脆弱かどうかは判断できない。バージョンと設定が重要となる。

Node2Shell脆弱性がGoプロジェクトに及ぶ経路

Sweet Securityのエンジニア、Tomer Ben Gera氏は、元のC実装への対策とあわせて、Goライブラリの修正を特定した。同社は、根本にあるメモリ管理上の欠陥がGoでも再現されていることを分析で確認したと述べた。

影響を受けるライブラリは、複数のGo製HTTPプロジェクトで直接または間接的に使われている。例えば、Fiberはバージョン2.52.9のfasthttpを介してこのライブラリに依存しており、クライアントが制御する圧縮リクエストボディーが脆弱性につながる可能性がある。

項目詳細
TraefikCompressミドルウェアが送信するBrotli圧縮レスポンスのエンコードに使う直接依存ライブラリ。
Fiberバージョン2.52.9のfasthttpを介した間接依存。リクエストボディーのデコードはCtx.Body()とJSON BodyParserを通じて利用できる。
Irisレスポンスのエンコードとリクエストのデコードに対応する直接依存ライブラリ。
fasthttpバージョン1.73.0まで直接依存していたが、バージョン1.74.0で代替ライブラリに移行した。

セキュリティチームが確認すべき点

Sweet Securityによると、影響の有無はライブラリのバージョン、アプリケーションでBrotliのエンコードまたはデコードを使用しているかどうか、そしてその設定によって異なる。同社は、GoベースのHTTPサービスを洗い出し、ライブラリのバージョンが修正済みリリースに該当するか確認するとともに、クライアントが制御するBrotli入力のデコードが有効になっているか評価するよう組織に助言した。

同社はまた、予期しないプロセス実行、不審な外向き接続、HTTPワーカープロセスにおける異常なメモリ挙動など、悪用の兆候がないか実行時の動作を監視することも推奨した。既知のインストールパスやパッケージレジストリに依存するスキャナーでは、脆弱なライブラリを検出できない場合があると注意を促した。

ニュースをさらに読む

FinanceVelixの関連記事

免責事項

本FinanceVelix記事は一般的な情報を提供するものであり、個別の金融、投資、法律、税務に関する助言ではありません。市場価格、金利、経済状況は変動する可能性があり、投資には損失のリスクがあります。記載内容は公開時点で入手可能な情報に基づいており、変更される場合があります。重要な情報はご自身で確認し、必要に応じて資格を有する専門家に相談してください。資産、企業、サービスへの言及は推奨を意味するものではありません。