구글 브로틀리 압축 해제 라이브러리에서 CVSS 9.2의 치명적 취약점 CVE-2026-111497이 확인됐다. 노드JS가 21일, 파이썬 쪽이 22일 공개했으며, 'Node2Shell'로도 불린다.
원인은 디코더의 범위 밖 쓰기다. 블록 유형을 전환하는 함수가 오류와 입력 부족을 구분하지 못하는 불리언만 반환하고, 빠른 경로에서는 반환값을 무시한다. 조작된 스트림이 이를 유발할 수 있다.
인증 없는 원격 공격자가 악용할 수 있고, 악성 클라이언트가 서버를, 악성 서버가 클라이언트를 노리는 양방향이 가능하다. 영향 범위는 브로틀리 1.0.3~1.2.0, 노드JS, 파이썬 Brotli·brotlicffi, 이를 쓰는 요청 라이브러리, curl, 번, 엔보이, 이스티오 등이다. 엔진엑스와 아파치는 기본 설정에서는 해당하지 않는다.
수정 버전은 브로틀리 1.2.1, 노드JS 22.23.4·24.22.1·26.12.1, 번 1.4.4 이상 등이다. 임시 방편으로 br 인코딩 요청을 차단하거나 파이썬에서 해당 패키지를 제거할 수 있다.
근본 수정은 2월에 소스에 들어갔으나 보안 문제로 인식되지 않아 이번에야 배포됐다. 노드JS 이슈는 22일 기준 실제 악용이 보고되지 않았지만 긴급 패치가 권고된다.
원문: Aikido Security
이 글은 원문에 담긴 사실을 바탕으로 Raon Community가 새로 작성한 기사입니다. 원문의 저작권은 원저작자에게 있으며, 자세한 내용은 원문에서 확인해 주세요.