CVE-2026-111497: Kritische Node2Shell-Schwachstelle im Brotli-Decoder von Node.js

Zusammenfassung

Node2Shell ist eine kritische Schwachstelle (CVE-2026-111497), die den mit Node.js gebündelten Brotli-Decoder betrifft und durch einen Schreibvorgang außerhalb der Grenzen verursacht wird. Angreifer können die Schwachstelle ausnutzen, indem sie fehlerhafte komprimierte Streams an Dienste übermitteln, die Brotli-Daten verarbeiten, was potenziell zu Dienstverweigerung, Speicherfreigabe oder Remote-Code-Ausführung führen kann. Die Schwachstelle stellt ein besonderes Risiko für Dienste dar, die Express 5 oder Middleware verwenden, die automatisch die Brotli-Dekomprimierung durchführen.

Untersuchung

Das Sysdig Threat Research Team analysierte die Schwachstelle und berichtete, dass ein öffentliches PoC innerhalb von Stunden nach dem Patch-Release erschien. Untersuchungen von Imperva und Vercel zeigten, dass Codeausführung auf bestimmten Architekturen, einschließlich Linux arm64, möglich ist. Die Untersuchung zeigte, dass die Ausnutzbarkeit davon abhängt, ob eine Anwendung oder ihre Bibliotheken, wie z.B. body-parser, von Angreifern kontrollierte Brotli-Streams verarbeiten.

Minderung

Die primäre Abhilfemaßnahme besteht darin, Node.js auf die Versionen 22.23.4, 24.22.1 oder 26.12.1 zu aktualisieren und Bun auf Version 1.4.4 oder höher zu aktualisieren. Organisationen sollten auch die Anforderungsdekomprimierung deaktivieren, wo immer dies praktisch ist, einschließlich der Einstellung von inflate: false in body-parser. Die Bereitstellung von WAF-Regeln zum Ablehnen unzuverlässiger Content-Encoding: br Anfragen und das Ausführen von Diensten unter privilegienlosen Konten bieten zusätzliche Schutzschichten.

Reaktion

Wenn eine potenzielle Ausnutzungskette erkannt wird, z.B. ein Node.js-Prozessabsturz gefolgt von unerwarteter Programmausführung, sollten Sicherheitsteams sofort die betroffene Arbeitslast isolieren. Überwachen Sie Aktivitäten nach der Ausnutzung, einschließlich interaktiver Shells, unbefugter Malware-Downloads, Kryptomining oder Diebstahl von Geheimnissen und Cloud-Token. Das Patchen aller erreichbaren anfälligen Dienste sollte oberste Priorität bleiben.

Simulationsausführung

• Angriffserzählung & Befehle: Der Angreifer zielt auf eine Webanwendung ab, die Node.js verwendet. Sie senden eine bösartige Brotli-komprimierte Nutzlast, die einen Speicherbeschädigungsfehler auslöst und den node Prozess zum Absturz bringt. Unmittelbar nach dem Absturz nutzt der Angreifer den gekaperten Ausführungsfluss, um eine /bin/bash Shell zu öffnen, um Persistenz zu etablieren und mit lokaler Aufklärung zu beginnen. Diese Sequenz eines node Ereignisses gefolgt von /bin/bash Ausführung ist darauf ausgelegt, den selection_crash and selection_suspicious_exec Logik der Erkennungsregel zu erfüllen.

• Regressionstestskript:

  #!/bin/bash
  # Simulation eines Node2Shell-Ausbeutungsmusters
  
  echo "[+] Starte Node2Shell-Simulation..."
  
  # 1. Simuliere einen Node.js-Prozess, der 'abstürzt' oder abrupt beendet wird
  # In einem realen Szenario ist dies ein Absturz. Hier simulieren wir die Telemetrie 
  # eines eingeleiteten/verarbeiteten Node-Prozesses.
  node -e "process.exit(1)"
  echo "[+] Node.js-Prozess 'abgestürzt' (Exit Code 1)."
  
  # 2. Simuliere die sofortige Ausführung einer verdächtigen Shell
  # Dies spiegelt die Nutzlast wider, die die Shell nach dem Absturz auslöst.
  /bin/bash -c "echo 'Exploitation Successful: Shell Spawned'"
  
  echo "[+] Simulation abgeschlossen. Überprüfen Sie SIEM auf Erkennung."

• Bereinigungskommandos:

  # Es wurden keine dauerhaften Dateien durch diese Simulation erstellt.
  # Stellen Sie einfach sicher, dass keine rogue bash Prozesse laufen.
  pkill -f "Exploitation Successful"