Brotliの脆弱性CVE-2026-111497、Node.jsでコード実行を実証
インパーバがNode.js 24.22.0でNode2Shellのコード実行を実証。Node.jsとBrotliは修正版を公開した。
Googleの圧縮ライブラリBrotliに、細工された入力を伸張する際に意図したバッファの外へメモリ書き込みが発生する脆弱性が確認された。CVE-2026-111497として追跡されている。dailysecu.comが報じた。
この欠陥を悪用するとプログラムがクラッシュしたり、メモリの内容が漏えいしたり、場合によってはリモートからのコード実行につながる可能性がある。インパーバの研究者はこの脆弱性を「Node2Shell」と名付け、Linux ARM64向けの公式Node.js 24.22.0でコード実行を実証した。
実証では、外部サーバーからの圧縮レスポンスと、圧縮されたリクエストボディという2つの経路が使われた。悪用の成功には複数回の試行が必要で、他のOSや製品でのコード実行は確認されていない。公開資料の範囲では、実環境での悪用報告はない。
影響の範囲はNode.jsにとどまらない。Brotliによる伸張を有効にしている場合はEnvoyやIstioも影響を受ける可能性があり、Bunも影響の候補に挙がっている。PythonではBrotliまたはbrotlicffiパッケージがインストールされていれば、HTTPライブラリが応答を自動的に伸張する。
Node.jsは10月21日に修正版22.23.4、24.22.1、26.12.1を公開した。Google Brotliもバージョン1.0.10、1.1.1、1.2.1でセキュリティ修正を提供している。Brotliはウェブページや通信データのサイズを削減する圧縮技術として広く使われている。
よくある質問
修正版はどのバージョンですか？
Node.jsは22.23.4、24.22.1、26.12.1、Google Brotliは1.0.10、1.1.1、1.2.1で修正を提供しています。
どの製品が影響を受けますか？
Node.jsのほか、Brotli伸張を有効にしたEnvoyやIstio、Bunが影響を受ける可能性があります。PythonでもBrotliまたはbrotlicffiが入っていればHTTPライブラリが自動伸張します。
実際に悪用された事例はありますか？
公開資料の範囲では、実環境での悪用報告はありません。