Sweet Security 于 2026 年 10 月 25 日表示，Node2Shell 漏洞不仅存在于最初的 C 实现中，也存在于一个被多个 HTTP 项目使用的 Go Brotli 压缩库中。这家安全公司指出，该 Go 库于 10 月 23 日提交了修复。

要点

  • Traefik、Fiber、Iris 和 fasthttp 均依赖受影响的库。
  • 仅有依赖关系并不能确定应用是否存在漏洞；版本和配置也会产生影响。

Node2Shell 漏洞如何影响 Go 项目

Sweet Security 工程师 Tomer Ben Gera 在原始 C 实现的修复措施之外，还发现了 Go 库的修复。该公司称，其分析发现，底层内存管理缺陷也被复制到了 Go 中。

多个 Go HTTP 项目直接或间接使用了受影响的库。例如，Fiber 通过 fasthttp 2.52.9 版本依赖该库；在该版本中，由客户端控制的压缩请求正文可能形成触发漏洞的途径。

项目详情
Traefik直接依赖，Compress 中间件使用该库对外发出的 Brotli 响应进行编码。
Fiber通过 fasthttp 2.52.9 版本间接依赖；请求正文解码可通过 Ctx.Body() 和 JSON BodyParser 实现。
Iris直接依赖，支持响应编码和请求解码。
fasthttp通过 1.73.0 版本直接依赖；在 1.74.0 版本中迁移至替代方案。

安全团队应检查什么

Sweet Security 表示，风险敞口取决于库的版本、应用是否使用 Brotli 编码或解码，以及应用的配置。该公司建议组织盘点基于 Go 的 HTTP 服务，将库版本与已修复版本进行核对，并评估是否启用了对客户端控制的 Brotli 输入进行解码。

该公司还建议监控运行时行为，以寻找可能的攻击迹象，包括意外的进程执行、异常的出站连接，以及 HTTP 工作进程中的内存行为异常。该公司提醒，依赖已知安装路径和软件包注册表的扫描器可能会漏掉存在漏洞的库。

阅读更多新闻

更多 FinanceVelix 新闻

免责声明

本文由 FinanceVelix 提供一般信息，不构成个性化的财务、投资、法律或税务建议。市场价格、利率和经济状况可能发生变化；投资存在亏损风险。本文事实依据发布时可获取的资料，且可能发生变化。请独立核实重要信息，并在必要时咨询合格的专业人士。提及任何资产、公司或服务均不构成推荐。