La vulnerabilidad Node2Shell RCE expone aplicaciones Node.js a ejecución remota de código
Investigadores de seguridad han demostrado una crítica vulnerabilidad de RCE en Node.js mediante datos maliciosos de Brotli. El fallo afecta a las compilaciones oficiales y destaca los riesgos en bibliotecas de compresión ampliamente utilizadas.
Resumen
- Investigadores de Imperva descubrieron una vulnerabilidad de ejecución remota de código en Node.js llamada Node2Shell.
- El exploit utiliza datos Brotli manipulados para evadir protecciones en compilaciones oficiales de Node.js.
- Afecta a Node.js v24.22.0 en Linux arm64 sin requerir depuradores ni binarios personalizados.
- El problema se deriva del decodificador Brotli integrado (CVE-2026-111497).
- Las organizaciones deben monitorear actualizaciones y validar el manejo de datos comprimidos.
Una vulnerabilidad recién divulgada en Node.js permite a atacantes ejecutar código arbitrario utilizando datos especialmente diseñados comprimidos con Brotli. Los investigadores de seguridad de Imperva desarrollaron una prueba de concepto funcional del exploit, denominado "Node2Shell", que apunta a la imagen oficial de Node.js 24.22.0 para Linux arm64.
Este fallo de ejecución remota de código (RCE) surge debido a una validación incorrecta dentro del decodificador integrado de Brotli, identificado como CVE-2026-111497. Es importante destacar que el exploit funciona sin necesidad de binarios modificados o herramientas de depuración, lo que lo hace más accesible para actores de amenazas dirigidos a aplicaciones JavaScript del lado del servidor.
Detalles técnicos del exploit Node2Shell
- La vulnerabilidad reside en el módulo de descompresión Brotli incluido en Node.js.
- Los atacantes proporcionan datos comprimidos mal formados que provocan comportamientos inesperados durante la decodificación.
- Una explotación exitosa otorga control sobre el flujo de ejecución de la aplicación, permitiendo comandos de shell arbitrarios.
- La prueba de concepto de Imperva demuestra un RCE completo en contenedores estándar de Node.js con configuraciones predeterminadas.
Impacto y recomendaciones de mitigación
- Las organizaciones que ejecutan aplicaciones Node.js deben evaluar su exposición a fuentes de entrada basadas en Brotli.
- Las acciones inmediatas incluyen validar todo contenido comprimido no confiable antes de procesarlo.
- Se recomienda a los desarrolladores aplicar parches tan pronto estén disponibles y restringir rutinas innecesarias de descompresión.
- La defensa a largo plazo requiere un análisis más profundo de los códecs de terceros integrados en entornos de tiempo de ejecución.
Fuentes
Fuentes
Novedades de seguridad por correo
Un correo resumen cuando publicamos nuevos artículos de seguridad (resumen más enlaces para leer más). Date de baja cuando quieras desde el pie del mensaje. Consulta nuestra Política de privacidad.