Luka Node2Shell wykryta w bibliotece Brotli dla Go

Luka Node2Shell wykracza poza swoją pierwotną implementację w C i obejmuje również bibliotekę kompresji Brotli dla Go, używaną przez kilka projektów HTTP — poinformowała 25 października 2026 r. firma Sweet Security. Firma zajmująca się cyberbezpieczeństwem zidentyfikowała poprawkę opublikowaną w bibliotece Go 23 października.

Najważniejsze wnioski

• Traefik, Fiber, Iris i fasthttp korzystają z zależności od objętej problemem biblioteki.
• Sama zależność nie przesądza o podatności aplikacji; znaczenie mają wersje i konfiguracja.

Jak luka Node2Shell przedostaje się do projektów Go

Inżynier Sweet Security Tomer Ben Gera zidentyfikował poprawkę w bibliotece Go wraz z rozwiązaniem problemu w pierwotnej implementacji w C. Firma poinformowała, że analiza wykazała, iż ta sama wada w zarządzaniu pamięcią występuje również w wersji dla Go.

Z objętej problemem biblioteki korzysta bezpośrednio lub pośrednio kilka projektów HTTP dla Go. Na przykład zależność Fiber prowadzi przez fasthttp w wersji 2.52.9, w której skompresowane treści żądań kontrolowane przez klienta mogły tworzyć ścieżkę prowadzącą do wykorzystania luki.

Co powinny sprawdzić zespoły ds. bezpieczeństwa

Sweet Security poinformowała, że skala narażenia zależy od wersji biblioteki, tego, czy aplikacja korzysta z kodowania lub dekodowania Brotli, oraz od jej konfiguracji. Firma zaleciła organizacjom sporządzenie wykazu usług HTTP opartych na Go, porównanie wersji bibliotek z wersjami zawierającymi poprawkę oraz sprawdzenie, czy włączone jest dekodowanie danych wejściowych Brotli kontrolowanych przez klienta.

Firma zaleciła również monitorowanie zachowania systemu w czasie działania pod kątem możliwych oznak wykorzystania luki, w tym nieoczekiwanego uruchamiania procesów, nietypowych połączeń wychodzących i nieprawidłowego zachowania pamięci w procesach obsługujących HTTP. Ostrzegła, że skanery korzystające z list znanych ścieżek instalacji i rejestrów pakietów mogą nie wykryć podatnych bibliotek.

Czytaj więcej wiadomości

Więcej wiadomości FinanceVelix

Zastrzeżenie

Ten artykuł FinanceVelix zawiera ogólne informacje i nie stanowi spersonalizowanej porady finansowej, inwestycyjnej, prawnej ani podatkowej. Ceny rynkowe, stopy procentowe i warunki gospodarcze mogą się zmieniać; inwestowanie wiąże się z ryzykiem straty. Przedstawione fakty odzwierciedlają materiały dostępne w chwili publikacji i mogą ulec zmianie. Ważne informacje należy weryfikować samodzielnie, a w razie potrzeby skonsultować się z wykwalifikowanym specjalistą. Wzmianka o aktywie, firmie lub usłudze nie stanowi rekomendacji.