Falha Node2Shell de RCE Expõe Aplicativos Node.js à Execução Remota de Código
Pesquisadores de segurança demonstraram uma vulnerabilidade crítica de RCE no Node.js por meio de dados maliciosos do Brotli. A falha afeta builds oficiais e destaca riscos em bibliotecas de compressão amplamente utilizadas.
TL;DR
- Pesquisadores da Imperva descobriram uma falha de execução remota de código no Node.js chamada Node2Shell.
- A exploração usa dados maliciosos do Brotli para contornar proteções em builds oficiais do Node.js.
- Afeta o Node.js v24.22.0 no Linux arm64 sem necessidade de depuradores ou binários personalizados.
- O problema se origina no decodificador Brotli incluso (CVE-2026-111497).
- As organizações devem monitorar atualizações e validar o tratamento de entrada para dados comprimidos.
Uma vulnerabilidade recentemente divulgada no Node.js permite que atacantes executem código arbitrário usando dados especialmente criados com compressão Brotli. Pesquisadores de segurança da Imperva desenvolveram uma prova de conceito funcional da exploração, chamada "Node2Shell", que tem como alvo a imagem oficial do Node.js 24.22.0 para Linux arm64.
Essa falha de execução remota de código (RCE) surge de uma validação inadequada dentro do decodificador Brotli embutido, identificada como CVE-2026-111497. Vale ressaltar que a exploração funciona sem exigir binários modificados ou ferramentas de depuração, tornando-a mais acessível a agentes de ameaça que visam aplicações JavaScript do lado do servidor.
Detalhes Técnicos da Exploração Node2Shell
- A vulnerabilidade reside no módulo de descompressão Brotli incluído no Node.js.
- Atacantes fornecem dados comprimidos malformados que provocam comportamento inesperado durante a decodificação.
- Uma exploração bem-sucedida concede controle sobre o fluxo de execução da aplicação, permitindo comandos shell arbitrários.
- A PoC da Imperva demonstra RCE completo em contêineres padrão do Node.js com configurações padrão.
Impacto e Recomendações de Mitigação
- Organizações que executam aplicativos Node.js devem avaliar a exposição a fontes de entrada baseadas em Brotli.
- Ações imediatas incluem validar todo conteúdo comprimido não confiável antes do processamento.
- Os desenvolvedores são aconselhados a aplicar correções assim que disponíveis e restringir rotinas desnecessárias de descompressão.
- A defesa de longo prazo exige uma análise mais profunda dos codecs de terceiros integrados aos ambientes de execução.
Fontes
Fontes
Atualizações de segurança por e-mail
Um e-mail resumo quando publicarmos novos artigos de segurança (TL;DR e links para ler mais). Cancele a inscrição a qualquer momento no rodapé da mensagem. Veja nossa Política de Privacidade.