https://x.com/SOU_BTC/status/2113835833468105126
何か広範な影響がある脆弱性らしいよ…
こんなに続くと世界は終わるんじゃないかな…
@t_massann なんで元ポストは詳しく書いてくれないんだろうな…
フォロー
【詳細】HTTP2Shell
Googleが開発した圧縮ライブラリ「Brotli」の脆弱性です。
そのため、Node.jsだけでなく、PythonのHTTPライブラリや、Brotliを内部で使用するさまざまなアプリケーションに影響する可能性があります。
2026年10月21日公表
CVE-2026-111497
Brotliデコーダーの範囲外メモリ書き込み
* 正式な識別番号
CVE-2026-111497
* 通称
Node2Shell / HTTP2Shell
* 原因
Brotliの解凍処理の不具合
* 影響バージョン
Brotli 1.0.3〜1.2.0
* 認証
不要で攻撃可能なケースがある
* 想定される被害
メモリ破壊、情報漏洩、DoS、任意コード実行
* 修正版
Brotli 1.2.1など
重要なのは、HTTP2Shellという名前ですが、HTTP/2プロトコルの脆弱性ではないことです。
HTTP/1.1でもHTTP/2でも、Brotli圧縮データを脆弱なデコーダーで展開する処理があれば問題になります。
@t_massann 今回のはサーバー側なので直接は関係ないみたいですが、ブラウザ側の実装によっては同様の問題がある可能性はあるみたいです。
【詳細】HTTP2Shell
@legasus これもしかしてBrotli使ってるブラウザとかにも関係ありますか？