Node2Shell 进化成 HTTP2Shell：Brotli 越界写波及 requests、httpx、aiohttp 与 curl
来源：aikido.dev — 2026-10-24
📋 概述
Aikido 披露 Node2Shell 已扩散成 HTTP2Shell：CVE-2026-111497 是 Google Brotli 解码器 1.0.3 至 1.2.0 的越界写，CVSS 4.0 打 9.2，攻击者只要送一段特制 Brotli 压缩流就能破坏内存、泄漏数据或执行代码。根因今年 2 月就在源码里修好了，但当时没被认定为安全问题，也没有版本带着这次修复发布，于是所有内嵌 Brotli 的项目都得自己出补丁。
🔑 核心要点
CVE-2026-111497 影响 Brotli 1.0.3–1.2.0 全平台，CVSS 4.0 = 9.2，Node.js、Python、curl 都靠捆绑的 Brotli 中招。 机制是解码器在应当拒收的位置继续吞字节，溢出小工作缓冲区，进而被用来控制程序执行流。
补丁版本：Brotli 1.2.1、brotlicffi 1.2.1.0；旧分支用打了补丁的 1.0.10 / 1.1.1。 当时漏洞库还没把 CVE 映射到这两个 PyPI 包，pip-audit、Dependabot、Safety 都不会报警；无法升级时应先关闭 Brotli 解码并从 Accept-Encoding 去掉 br。
💡 金句
The root cause was fixed in the Brotli source code in February, but it wasn't recognized as a security issue at the time and no release shipped with the fix until now.
👍 0
❤️ 点赞
👎 0
沉底
← 返回 Hacker News 首页