Unos investigadores demuestran un exploit de ejecución remota de código (RCE) denominado «Node2Shell» en una compilación de Node.js utilizando datos Brotli manipulados

Un grupo de in­ves­ti­ga­do­res de Im­per­va ha ex­pues­to una vul­ne­ra­bi­li­dad de eje­cu­ción re­mo­ta de có­di­go, de­no­mi­na­da "Node2Shell", en ver­sio­nes ofi­cia­les de Node.js. Me­dian­te el uso de datos ma­li­cio­sos de Brotli, la prue­ba de con­cep­to logró eje­cu­tar có­di­go en una ima­gen es­pe­cí­fi­ca de Linux arm64 sin re­que­rir un de­pu­ra­dor o una com­pi­la­ción per­so­na­li­za­da. Node.js re­ve­ló este fallo y emi­tió co­rrec­cio­nes para so­lu­cio­nar­lo.

El pro­ble­ma afec­ta al de­co­di­fi­ca­dor de Brotli in­te­gra­do en Node.js, com­pro­me­tien­do a las lí­neas de ver­sio­nes co­rres­pon­dien­tes. Los ser­vi­cios pue­den verse ex­pues­tos tanto al pro­ce­sar res­pues­tas com­pri­mi­das con Brotli me­dian­te fun­cio­nes na­ti­vas como al de­co­di­fi­car cuer­pos de so­li­ci­tu­des en apli­ca­cio­nes que em­plean cier­tos ana­li­za­do­res y rutas. Los in­ves­ti­ga­do­res com­pro­ba­ron que la eje­cu­ción de có­di­go era po­si­ble a tra­vés de ambas vías uti­li­zan­do ver­sio­nes es­pe­cí­fi­cas pre­via­men­te fi­ja­das.

El fallo se ori­gi­na en la forma en que el de­co­di­fi­ca­dor ges­tio­na un punto im­po­si­ble den­tro de un flujo de datos de Brotli, donde el sis­te­ma con­ti­núa ope­ran­do en un es­ta­do in­vá­li­do en lugar de de­te­ner­se. Para so­lu­cio­nar este pro­ble­ma, Node.js in­cor­po­ró un par­che que fuer­za al de­co­di­fi­ca­dor a de­te­ner­se mos­tran­do un error de for­ma­to. Las re­co­men­da­cio­nes de se­gu­ri­dad in­di­can que se debe ac­tua­li­zar a una ver­sión con el par­che apli­ca­do, ya que no exis­ten al­ter­na­ti­vas de mi­ti­ga­ción in­ter­nas en el en­torno de eje­cu­ción, aun­que al­gu­nas en­ti­da­des han im­ple­men­ta­do re­glas de blo­queo tem­po­ra­les.