Node2shell > Python2shell > HTML2shell (echale la culpa a #Brotli)

La he­rra­mien­ta de com­pre­sión ino­cen­te di­se­ña­da para ace­le­rar nues­tros si­tios web se ha trans­for­ma­do de la noche a la ma­ña­na en una puer­ta tra­se­ra letal que per­mi­ti­ría a los ata­can­tes tomar el con­trol de los ser­vi­do­res y las apli­ca­cio­nes en com­ple­to si­len­cio, y sin ne­ce­si­dad de nin­gu­na con­tra­se­ña.

No es­ta­mos ha­blan­do de un ata­que tra­di­cio­nal, sino de una bomba di­gi­tal de tiem­po plan­ta­da en los ci­mien­tos de In­ter­net, ahora co­no­ci­da hoy como "HTTP2Shell".

La vul­ne­ra­bi­li­dad de "Node2Shell" se trans­for­mó en "HTTP2Shell": con al­can­ce ma­si­vo para la vul­ne­ra­bi­li­dad de Brotli (BR) que le pega di­rec­ta­men­te a mu­chas bi­blio­te­cas y apli­ca­cio­nes que uti­li­zan el pro­to­co­lo HTTP.

Brotli es una bi­blio­te­ca ex­tre­ma­da­men­te po­pu­lar para la com­pre­sión de datos de­sa­rro­lla­da por Goo­gle y para re­em­pla­zar sus an­te­ce­sor (aun­que aún ac­ti­vos) de­fla­te/gzip. El miér­co­les 21 de oc­tu­bre, se re­ve­ló una vul­ne­ra­bi­li­dad ( CVE-2026-111497 ) en la pla­ta­for­ma No­deJS, y se le dio el nom­bre de Node2Shell. Esta vul­ne­ra­bi­li­dad per­mi­te for­zar a las apli­ca­cio­nes de No­deJS, que des­com­pri­men datos ma­li­cio­sos co­di­fi­ca­dos con Brotli, fil­trar in­for­ma­ción sen­si­ble de la me­mo­ria o eje­cu­tar có­di­gos ma­li­cio­sos para tomar el con­trol del sis­te­ma.

Per­mi­te que datos com­pri­mi­dos es­pe­cial­men­te ma­ni­pu­la­dos so­bres­cri­ban el es­pa­cio más allá del lí­mi­te de un búfer, co­rrom­pien­do así la me­mo­ria de la apli­ca­ción. Esto puede pro­vo­car un fallo, una fuga de me­mo­ria o in­clu­so la eje­cu­ción de có­di­go con­tro­la­do por un ata­can­te. In­ves­ti­ga­do­res de Im­per­va han de­mos­tra­do que es po­si­ble eje­cu­tar có­di­go en una ver­sión de Node.js que no ha sido par­chea­da. Aun­que no se ha de­mos­tra­do lo mismo en el resto del soft­wa­re afec­ta­do, tam­po­co se han re­gis­tra­do ata­ques en en­tor­nos reales hasta la fecha…