Researchers Demonstrate Node2Shell RCE Exploit on Node.js Build Using Crafted Brotli Data
The Hacker News · 23 oct, 09:50
Qué hacer: Actualiza Node.js a la versión parcheada (24.22.1 o posterior según tu línea de soporte) y Express 5/body-parser a las versiones más recientes.
Investigadores de Imperva demostraron un exploit RCE en Node.js 24.22.0 explotando CVE-2026-111497, una vulnerabilidad en el decodificador Brotli integrado que permite ejecutar código arbitrario mediante datos Brotli malformados. Node.js lanzó parches el 21 de octubre, y las aplicaciones que decodifican datos Brotli no confiables deben actualizarse inmediatamente.
El fallo se encuentra en cómo el decodificador Brotli maneja un punto imposible en el flujo: cuando recibe un cambio de bloque que su propia estructura prohíbe, el decodificador vulnerable interpreta esto como solicitud de más datos y continúa en estado inválido. Esta continuidad genera una escritura fuera de los límites del búfer, permitiendo la ejecución de código. Imperva reprodujo la ejecución de código tanto en rutas de solicitud como de respuesta, probando Express 5.0.0–5.3.0 y body-parser 2.0.0–2.3.0.
El fallo afecta a las líneas 22.x, 24.x y 26.x de Node.js, no solo a la compilación probada. Las aplicaciones acceden al decodificador a través de fetch() integrado de Node.js o mediante middleware que decodifica cuerpos de solicitud comprimidos con Brotli (como los analizadores de cuerpo de Express 5). Node.js arregló el fallo importando un parche de Brotli ascendente que detiene el decodificador con un error de formato en ese punto. Las líneas de fin de vida 20.x y anteriores no reciben el parche.
Puntos clave
- CVE-2026-111497 en decodificador Brotli de Node.js 22.x, 24.x, 26.x
- Actualiza a versión parcheada; líneas 20.x y anteriores sin soporte
- Express 5 y body-parser también afectados; aplica middleware de decodificación
- Sin workaround en Node.js; limita tráfico Brotli no confiable si es posible
- Sin explotación reportada en estado salvaje hasta 22 de octubre
Figuras de la fuente
