Empresas tecnológicas y proyectos de software han publicado parches para HTTP2Shell, una vulnerabilidad crítica en Brotli, el algoritmo de compresión de código abierto de Google. El fallo está registrado como CVE-2026-111497 y recibió una puntuación de gravedad de 9,2 sobre 10.
El error también se conoce como Node2Shell y Broccoli2Shell. Es una escritura fuera de límites que puede provocar un desbordamiento del búfer. La National Vulnerability Database indica que podría exponer memoria, causar denegación de servicio o, en algunos casos, permitir la ejecución remota de código. Brotli se usa para comprimir respuestas web. Entre los programas potencialmente afectados están Node.js, Bun, implementaciones de Envoy y paquetes de Python como brotlicffi. También podrían verse afectados clientes HTTP como Requests, urllib3, httpx y aiohttp.
Google publicó correcciones en las versiones 1.0.10, 1.1.1 y 1.2.1 de Brotli el 21 de octubre de 2026. Node.js también publicó un parche ese día. Microsoft lanzó una actualización de emergencia para .NET durante el fin de semana y afirmó que una explotación exitosa podría permitir una escalada de privilegios. Según BleepingComputer, los paquetes de PyPI con las correcciones estuvieron disponibles el 23 de octubre. Actualizar Brotli por sí solo podría no proteger las aplicaciones que incluyen versiones vulnerables.
El sitio Broccoli2Shell.com afirma que el 22 de octubre de 2026 apareció en GitHub una prueba de concepto pública, pero que todavía no se habían registrado informes de explotación maliciosa en la práctica. Según el sitio, la prueba de concepto supuestamente solo logra ejecutar código en una compilación debilitada deliberadamente; en compilaciones estándar provoca un fallo y una lectura limitada de memoria.
Comentarios
0Aún no hay comentarios. Escribe el primero.