Sweet Security 於 2026 年 10 月 25 日表示，Node2Shell 漏洞的影響範圍不限於原始的 C 實作，也延伸至數個 HTTP 專案使用的 Go Brotli 壓縮函式庫。這家資安公司指出，Go 函式庫已於 10 月 23 日提交修正。

重點摘要

  • Traefik、Fiber、Iris 和 fasthttp 都依賴受影響的函式庫。
  • 僅有相依關係並不能證明應用程式容易受到攻擊；版本與設定都會影響判斷。

Node2Shell 漏洞如何影響 Go 專案

Sweet Security 工程師 Tomer Ben Gera 在修補原始 C 實作的同時，也找到了 Go 函式庫的修正。該公司表示，其分析發現底層記憶體管理缺陷也出現在 Go 版本中。

數個 Go HTTP 專案直接或間接使用了受影響的函式庫。例如，Fiber 透過 fasthttp 2.52.9 版相依於該函式庫；在此版本中，由用戶端控制的壓縮請求本文可能形成觸發漏洞的途徑。

項目詳細資訊
Traefik直接相依函式庫；Compress 中介軟體使用它來編碼外送的 Brotli 回應。
Fiber透過 fasthttp 2.52.9 版間接相依；請求本文解碼功能可透過 Ctx.Body() 和 JSON BodyParser 使用。
Iris直接相依函式庫，支援回應編碼與請求解碼。
fasthttp透過 1.73.0 版直接相依；自 1.74.0 版起改用替代方案。

資安團隊應檢查的事項

Sweet Security 表示，受影響程度取決於函式庫版本、應用程式是否使用 Brotli 編碼或解碼，以及相關設定。該公司建議組織盤點以 Go 為基礎的 HTTP 服務，核對函式庫版本是否已更新至修補版本，並評估是否啟用了對用戶端控制的 Brotli 輸入進行解碼的功能。

該公司也建議監控執行時行為，留意可能的攻擊跡象，包括非預期的程序執行、異常的對外連線，以及 HTTP 工作程序中的異常記憶體行為。該公司提醒，依賴已知安裝路徑和套件登錄檔的掃描器可能會漏掉有漏洞的函式庫。

閱讀更多新聞

更多 FinanceVelix 新聞

免責聲明

這篇 FinanceVelix 文章僅提供一般資訊，並非個人化的財務、投資、法律或稅務建議。市場價格、利率和經濟狀況可能變動；投資具有損失風險。文中事實反映發布時可取得的資料，之後可能有所變化。請自行核實重要資訊，並在需要時諮詢合格的專業人士。提及任何資產、公司或服務，均不代表推薦。