Una vulnerabilidad crítica en Brotli, el algoritmo de compresión de datos ampliamente utilizado en internet, ha llevado a varios proveedores y proyectos a publicar actualizaciones de seguridad. Identificada como HTTP2Shell —también denominada Node2Shell y Broccoli2Shell—, la falla podría causar corrupción de memoria y, en determinadas condiciones, permitir la ejecución remota de código (RCE).
El problema, registrado como CVE-2026-111497 y con una puntuación de gravedad de 9,2 sobre 10, afecta a software y bibliotecas que incorporan o utilizan versiones vulnerables de Brotli. Entre los componentes potencialmente afectados se encuentran Node.js, paquetes de Python, aplicaciones .NET y distintos clientes HTTP y servicios de infraestructura.
## Qué es la vulnerabilidad
Brotli es un algoritmo de compresión de código abierto desarrollado por Google. Se utiliza para reducir el tamaño de archivos y respuestas HTTP, como documentos HTML, hojas de estilo CSS y archivos JavaScript, sin perder información. Su amplia adopción hace que la vulnerabilidad pueda alcanzar numerosas aplicaciones, aunque el impacto concreto depende de cómo cada producto utilice el decodificador.
La falla se describe como una escritura fuera de los límites de memoria que puede provocar un desbordamiento de búfer. Según la información disponible, sus posibles consecuencias incluyen divulgación de memoria, denegación de servicio y, en ciertos casos, ejecución remota de código.
En Node.js, el problema se relaciona con el tratamiento de un bloque inválido: el decodificador de flujo podía interpretarlo como una solicitud temporal de más datos, en lugar de reconocer un error permanente de formato. Como resultado, podía seguir agregando datos a un búfer interno de ocho bytes. Si una aplicación descomprime datos Brotli controlados por un atacante mediante `node:zlib`, el proceso podría sufrir corrupción de memoria, bloquearse, revelar información o, potencialmente, ejecutar código.
## Productos afectados y versiones corregidas
La vulnerabilidad afecta a varios componentes y no basta necesariamente con actualizar la biblioteca de Google si una aplicación incluye su propia copia o depende de otro paquete que la incorpore. Las versiones corregidas informadas son:
– **Google Brotli:** 1.0.10, 1.1.1 y 1.2.1.
– **Node.js:** 22.23.4, 24.22.1 y 26.12.1.
– **Python Brotli:** 1.2.1.
– **Python brotlicffi:** 1.2.1.0.
También se han publicado actualizaciones para .NET. La falla puede afectar a aplicaciones y servicios que utilizan paquetes como Requests, urllib3, httpx y aiohttp, así como a entornos que emplean Bun o Envoy. Los administradores deben consultar los avisos de seguridad de cada proveedor para confirmar qué versiones y productos requieren actualización.
Google publicó correcciones para Brotli el 21 de octubre de 2026. Node.js anunció sus parches ese mismo día para las ramas 22.x, 24.x y 26.x. Los paquetes de Python con las correcciones estuvieron disponibles el 23 de octubre. Microsoft, por su parte, distribuyó una actualización de emergencia para .NET y señaló que una explotación exitosa podría permitir la elevación de privilegios.
## ¿Hay explotación activa?
Se han publicado pruebas de concepto, pero hasta el momento no hay confirmación de explotación maliciosa en entornos reales. Según el sitio dedicado a la vulnerabilidad, una prueba de concepto apareció en GitHub el 22 de octubre de 2026. Los informes indican que alcanzaría la ejecución de código únicamente en una compilación debilitada de forma deliberada; en configuraciones estándar, podría provocar un bloqueo y una lectura limitada de memoria.
La ausencia de explotación confirmada no elimina la urgencia. La disponibilidad de una prueba de concepto puede facilitar que otros actores investiguen la falla y desarrollen ataques, por lo que conviene reducir cuanto antes la exposición.
## Medidas recomendadas
Los equipos de seguridad y administración deberían:
1. **Actualizar** Brotli, Node.js, .NET y los paquetes de Python afectados a las versiones corregidas indicadas por sus proveedores.
2. **Reiniciar los procesos afectados** después de aplicar los parches, para asegurarse de que carguen las bibliotecas actualizadas.
3. **Reconstruir y volver a desplegar las imágenes de contenedores** que incluyan versiones vulnerables, además de revisar dependencias directas y transitivas.
4. **Si la actualización inmediata no es posible, reducir temporalmente la exposición.** En Python, una medida provisional puede ser desinstalar los paquetes Brotli y brotlicffi vulnerables y retirar dependencias opcionales como `httpx[brotli]`.
5. **Evaluar controles en proxies, balanceadores de carga o WAF** para rechazar solicitudes entrantes con cuerpos comprimidos mediante Brotli, cuando esto sea compatible con la operación.
Estos controles de red son parciales: no protegen necesariamente las aplicaciones que descargan respuestas HTTP maliciosas y luego las descomprimen. Además, para Node.js no se ha identificado una solución alternativa completa; la actualización es la medida recomendada.
HTTP2Shell pone de relieve un riesgo habitual en las cadenas modernas de software: una falla en una biblioteca compartida puede propagarse a muchos productos y servicios. La prioridad para las organizaciones es identificar dónde se utiliza el decodificador de Brotli, aplicar las correcciones disponibles y verificar que los cambios se hayan desplegado en todos los entornos.
from Latest from TechRadar https://ift.tt/8YsfAyv
via IFTTT IA
