Уязвимость HTTP2Shell: как службам безопасности оценить и снизить риски?

Кратко: Уязвимость HTTP2Shell (CVE-2026-111497) — это критический изъян в декодере декомпрессии Brotli от Google, который может позволить злоумышленникам повредить память и потенциально выполнить вредоносный код. Имея оценку CVSS v4.0 в 9.2 балла, эта уязвимость затрагивает программное обеспечение за пределами Node.js, создавая потенциальные риски для облачно-нативных приложений и их зависимостей. Командам безопасности следует выявить затронутые компоненты, определить, доступны ли уязвимые пути декодирования, и применить доступные обновления. Компания Aquasec также подтвердила, что хотя уязвимая библиотека присутствовала в некоторых образах Enforcer, ее анализ не выявил эксплуатируемых путей декодирования, и теперь доступен обновленный выпуск Enforcer.

Что такое уязвимость HTTP2Shell?

HTTP2Shell, изначально названная Node2Shell, представляет собой критическую уязвимость повреждения памяти, затрагивающую библиотеку декомпрессии Brotli от Google. Получившая идентификатор CVE-2026-111497, эта ошибка возникает, когда декодер обрабатывает специально сформированные сжатые данные, потенциально позволяя злоумышленнику аварийно завершить работу приложения, раскрыть конфиденциальную информацию или выполнить произвольный код.

Несмотря на свое название, HTTP2Shell не является уязвимостью в самом протоколе HTTP/2. Изъян существует в Brotli, широко используемой библиотеке сжатия, встроенной в приложения и программные зависимости.

Это различие имеет значение, поскольку потенциальное воздействие выходит за рамки Node.js. Любое приложение, которое включает уязвимый декодер Brotli и обрабатывает контролируемые злоумышленником сжатые данные, может оказаться под угрозой, поэтому организациям важно проверять не только свои среды Node.js.

Почему HTTP2Shell важна для облачно-нативных сред?

HTTP2Shell подчеркивает проблему, с которой регулярно сталкиваются группы безопасности при управлении уязвимостями в облачно-нативных средах. Единая уязвимая библиотека может присутствовать в нескольких приложениях, образах контейнеров и сторонних компонентах, что затрудняет понимание того, где именно существует риск.

В контейнеризированных средах зависимости часто упаковываются непосредственно в образы или исполняемые файлы приложений. Обновление библиотеки на базовом хосте не обязательно приводит к обновлению той же библиотеки, встроенной в работающий контейнер.

Уязвимость также создает различные уровни риска в зависимости от того, как приложение использует Brotli. Приложение, которое активно распаковывает контролируемый злоумышленником контент, может быть уязвимо, в то время как другое приложение, содержащее ту же уязвимую библиотеку, может никогда не запустить затронутый код.

Для групп безопасности это означает, что обнаружение уязвимого программного обеспечения является важным первым шагом, но оценка реального риска требует понимания того, как это программное обеспечение работает в рабочей среде.

Почему обнаружение уязвимой библиотеки Brotli не подтверждает возможность ее эксплуатации?

Традиционное сканирование уязвимостей имеет важное значение для выявления затронутого ПО, но результаты одного лишь сканера не могут доказать, что HTTP2Shell можно эксплуатировать в конкретной среде.

Для эксплуатации требуется, чтобы уязвимый декодер обрабатывал сжатый контент Brotli, на который злоумышленник может повлиять. Само по себе наличие установленной библиотеки не означает наличия этого условия.

Например, два приложения могут содержать одинаковую уязвимую версию Brotli, но только одно из них может быть настроено на распаковку ненадежного контента. Оба приложения могут выдавать результаты об уязвимости, хотя степень их риска существенно различается.

Именно здесь контекст времени выполнения становится ценным. Понимание того, какие компоненты активны, как ведут себя приложения и можно ли получить доступ к уязвимому функционалу, помогает службам безопасности отличать находки, представляющие немедленную угрозу, от тех, которые требуют дальнейшего расследования.

Этот контекст не исключает необходимости устранения уязвимостей. Он помогает командам принимать более взвешенные решения о том, где действовать в первую очередь.

Как выглядит эффективная реакция на HTTP2Shell?

Эффективная реакция сочетает в себе комплексную идентификацию уязвимостей с оценкой условий, необходимых для эксплуатации.

Группы безопасности должны начать с поиска затронутых библиотек Brotli в своих средах, включая зависимости, встроенные в образы приложений и стороннее ПО. После их обнаружения следующим шагом является определение того, какие приложения распаковывают контент, который злоумышленник может контролировать.

Приложения с уязвимым путем декодирования должны получить приоритет при устранении уязвимостей, особенно когда они запущены в продакшене и доступны из ненадежных источников.

Там, где доступны исправленные версии, организациям следует обновить затронутое программное обеспечение и убедиться, что исправленные компоненты действительно запущены. Это особенно важно в контейнеризированных средах, где приложение может продолжать использовать старый образ даже после того, как зависимость была обновлена в другом месте.

Безопасность во время выполнения добавляет еще один уровень к этой стратегии, предоставляя информацию об активности рабочей нагрузки и применяя поддерживаемые политики безопасности внутри работающих процессов. Эти элементы управления дополняют устранение уязвимостей, помогая организациям управлять производственными рисками в процессе применения обновлений программного обеспечения.

Как Aquasec решает проблему HTTP2Shell?

Aquasec оценила влияние HTTP2Shell на собственные компоненты и подтвердила, что уязвимая библиотека Brotli присутствовала в некоторых образах Aquasec Enforcer.

Однако наш анализ безопасности показал, что уязвимая функция декодирования не используется компонентами Enforcer. Enforcer не распаковывает данные Brotli, а это означает, что условия, необходимые для эксплуатации HTTP2Shell через уязвимый декодер, в исследованных путях выполнения Enforcer отсутствуют.

Наша оценка включала изучение как исходного кода, так и выпущенных бинарных файлов, чтобы убедиться, что уязвимый декодер не вызывается во время работы Enforcer.

Хотя уязвимая библиотека не была доступна через функционал Enforcer, мы выпустили обновленную версию Enforcer, содержащую исправленный пакет Brotli.

Aquasec Enforcer 2022.4 U47 SP2 (2022.4.951.5) уже доступен. Мы рекомендуем клиентам обновиться до этого выпуска, чтобы удалить уязвимую зависимость и устранить связанные с ней предупреждения сканера.

Клиенты, которым требуется дополнительная информация о затронутых версиях, нашем техническом анализе и рекомендации по обновлению, могут обратиться к Базе знаний службы поддержки Aquasec и документации к выпуску U47 SP2.

О чем говорит нам HTTP2Shell в контексте управления уязвимостями?

HTTP2Shell подчеркивает важную разницу между выявлением уязвимостей и пониманием их реального влияния в рабочей среде.

Сканер уязвимостей может идентифицировать компонент, связанный с известным CVE, но он не всегда может определить, используется ли уязвимый функционал или может ли злоумышленник получить к нему доступ.

Это создает проблему для групп безопасности, управляющих большим объемом результатов сканирования. Отношение к каждой находке как к одинаково эксплуатируемой может отвлечь внимание от угроз, представляющих более непосредственную опасность.

Подход Aquasec к обеспечению безопасности на этапе выполнения сосредоточен на понимании того, что происходит внутри работающих рабочих нагрузок, и использовании этого контекста для принятия решений по безопасности. Вместо того чтобы полагаться исключительно на статические данные о уязвимостях, команды могут объединить сканирование с аналитикой времени выполнения, чтобы сосредоточить исправление на наиболее важных рисках.

Цель состоит в том же, чтобы снизить реальную подверженность угрозам, сохраняя при этом защиту рабочих нагрузок, которые продолжают работать в процессе устранения уязвимостей.

Что организации должны сделать сейчас для устранения HTTP2Shell?

Организациям следует проверить свои среды приложений на наличие затронутых зависимостей Brotli и расставить приоритеты для рабочих нагрузок, обрабатывающих сжатый контент из ненадежных источников.

Исправленные версии Brotli от разработчиков включают версии 1.0.10, 1.1.1 и 1.2.1. Node.js также выпустила обновления безопасности в версиях 22.23.4, 24.22.1 и 26.12.1. Организации, использующие неподдерживаемые версии Node.js, должны мигрировать на поддерживаемый выпуск.

Командам безопасности также следует изучить рекомендации вендоров для затронутого стороннего программного обеспечения, применить доступные обновления и повторно просканировать свои среды для проверки устранения уязвимостей. Простое обновление базовой операционной системы может не устранить уязвимости в библиотеках, поставляемых вместе с приложениями или образами контейнеров.

Клиентам Aquasec следует обновить затронутые развертывания Enforcer до версии 2022.4 U47 SP2 (2022.4.951.5) и следовать документированным процедурам обновления и проверки.

Часто задаваемые вопросы

Что такое CVE-2026-111497?

CVE-2026-111497, также известная как HTTP2Shell или Node2Shell, представляет собой критическую уязвимость в декодере декомпрессии Brotli от Google. Она может вызвать повреждение памяти, когда затронутое приложение обрабатывает специально сформированные сжатые данные, что потенциально может привести к сбою приложения, раскрытию информации или выполнению произвольного кода.

Влияет ли HTTP2Shell только на приложения Node.js?

Нет. Хотя уязвимость изначально была связана с Node.js, этот изъян существует в базовом декодере Brotli. Другие приложения и компоненты программного обеспечения, в которые встроены затронутые версии Brotli, также могут быть подвержены риску, если они выполняют декомпрессию контента, контролируемого злоумышленником.

Означает ли обнаружение HTTP2Shell, что приложение подвержено эксплуатации?

Не обязательно. Обнаружение уязвимости подтверждает наличие затронутого компонента, но возможность эксплуатации зависит от того, обрабатывает ли уязвимый декодер данные, контролируемые злоумышленником. Командам безопасности следует оценивать поведение и подверженность приложения рискам наряду с результатами сканирования.

Затронут ли Aquasec Enforcer уязвимостью HTTP2Shell?

Aquasec обнаружила затронутую библиотеку Brotli в определенных образах Enforcer, но проведенная оценка безопасности показала, что Enforcer не задействует уязвимый декодер. Aquasec также выпустила версию Enforcer 2022.4.951.5 с обновленным пакетом Brotli и рекомендует клиентам выполнить обновление.

Может ли безопасность во время выполнения заменить исправление для HTTP2Shell?

Нет. Применение исправленного программного обеспечения остается рекомендуемым способом устранения. Безопасность во время выполнения предоставляет дополнительный контекст о поведении рабочей нагрузки и позволяет применять поддерживаемые элементы управления безопасностью в рабочей среде, помогая организациям управлять рисками в процессе устранения. Элементы управления времени выполнения Aquasec не являются основанием для оценки того, что уязвимый путь декодирования недостижим в Enforcer.

Aqua Security — пионер в обеспечении безопасности контейнеризированных облачных нативных приложений от разработки до эксплуатации. Решение Aqua для полного жизненного цикла предотвращает атаки путем соблюдения гигиены перед развертыванием и минимизирует атаки в реальном времени в продакшене, сокращая среднее время устранения и общий бизнес-риск. Платформа Aqua Platform, представляющая собой платформу защиты облачных нативных приложений (CNAPP), объединяет безопасность от кода до облака, сочетая возможности агентской и безагентской технологий в едином решении. Обладая масштабом корпоративного уровня, который не замедляет конвейеры разработки, Aqua защищает ваше будущее в облаке. Основанная в 2015 году, компания Aqua со штаб-квартирой в Бостоне, штат Массачусетс, и Рамат-Гане, Израиль, защищает более 500 крупнейших предприятий мира.