Phát hiện lỗ hổng Node2Shell trong thư viện Brotli của Go

Ngày 25 tháng 10 năm 2026, Sweet Security cho biết lỗ hổng Node2Shell không chỉ giới hạn ở bản triển khai ban đầu bằng C mà còn tồn tại trong một thư viện nén Brotli của Go được một số dự án HTTP sử dụng. Công ty bảo mật này đã xác định bản sửa lỗi được đưa vào thư viện Go ngày 23 tháng 10.

Những điểm chính cần lưu ý

• Traefik, Fiber, Iris và fasthttp phụ thuộc vào thư viện bị ảnh hưởng.
• Chỉ riêng việc có một phần phụ thuộc không đủ để xác định ứng dụng có dễ bị tấn công hay không; phiên bản và cấu hình đều rất quan trọng.

Lỗ hổng Node2Shell ảnh hưởng đến các dự án Go như thế nào

Kỹ sư Tomer Ben Gera của Sweet Security đã xác định bản sửa lỗi cho thư viện Go cùng với biện pháp khắc phục dành cho bản triển khai C ban đầu. Công ty cho biết phân tích của họ phát hiện lỗi quản lý bộ nhớ nền tảng này cũng đã được tái tạo trong Go.

Một số dự án HTTP của Go sử dụng thư viện bị ảnh hưởng trực tiếp hoặc gián tiếp. Chẳng hạn, Fiber phụ thuộc vào thư viện này thông qua fasthttp phiên bản 2.52.9, trong đó nội dung yêu cầu đã nén do máy khách kiểm soát có thể tạo ra con đường dẫn đến lỗ hổng.

Các nhóm bảo mật cần kiểm tra những gì

Sweet Security cho biết mức độ phơi nhiễm phụ thuộc vào phiên bản thư viện, việc ứng dụng có sử dụng mã hóa hoặc giải mã Brotli hay không, và cấu hình của ứng dụng. Công ty khuyến nghị các tổ chức lập danh mục dịch vụ HTTP dựa trên Go, đối chiếu phiên bản thư viện với các bản phát hành đã vá lỗi, đồng thời đánh giá xem tính năng giải mã dữ liệu đầu vào Brotli do máy khách kiểm soát có được bật hay không.

Công ty cũng khuyến nghị theo dõi hành vi trong thời gian chạy để phát hiện các dấu hiệu có thể cho thấy hành vi khai thác, bao gồm việc thực thi tiến trình bất thường, kết nối đi bất thường và hành vi bộ nhớ bất thường trong các tiến trình worker HTTP. Công ty lưu ý rằng các công cụ quét dựa vào những đường dẫn cài đặt và kho gói đã biết có thể bỏ sót các thư viện dễ bị tấn công.

Đọc thêm tin tức

Tin tức khác từ FinanceVelix

Tuyên bố miễn trừ trách nhiệm

Bài viết này của FinanceVelix cung cấp thông tin chung, không phải lời khuyên tài chính, đầu tư, pháp lý hoặc thuế được cá nhân hóa. Giá thị trường, lãi suất và điều kiện kinh tế có thể thay đổi; các khoản đầu tư có rủi ro thua lỗ. Thông tin phản ánh tài liệu có tại thời điểm đăng tải và có thể thay đổi. Hãy tự kiểm tra độc lập các thông tin quan trọng và tham khảo chuyên gia có chuyên môn khi cần. Việc đề cập đến một tài sản, công ty hoặc dịch vụ không đồng nghĩa với sự chứng thực.