HTTP2Shell: Kritična bezbednosna ranjivost sada ugrožava više programskih jezika i internet servisa

Bezbednosni propust CVE-2026-111497, prvobitno poznat kao Node2Shell, pokazao se znatno ozbiljnijim i rasprostranjenijim nego što se očekivalo. Nova istraživanja ukazuju da isti problem u Brotli biblioteci može pogoditi Python aplikacije, Node.js servise i druge sisteme za obradu HTTP saobraćaja. Roster Soft predstavlja pregled rizika i besplatan alat za početnu proveru bezbednosti.

Od Node2Shell do HTTP2Shell: Kako se problem proširio?

Kada su 21. oktobra 2026. godine objavljena hitna Node.js bezbednosna ažuriranja, pažnja stručne javnosti bila je usmerena na ozbiljan propust u obradi Brotli komprimovanih podataka.

Međutim, dodatna istraživanja otkrila su da se ranjivi deo koda ne koristi isključivo u Node.js okruženju.

Brotli je široko rasprostranjena biblioteka za kompresiju podataka koju je razvio Google. Koristi se za smanjivanje veličine sadržaja koji se prenosi internetom, ali i u brojnim bibliotekama, aplikacijama i serverskim komponentama.

Zbog toga ranjivost potencijalno zahvata veliki broj različitih proizvoda.

Naziv HTTP2Shell počeo je da se koristi kako bi naglasio da je problem širi od jednog programskog jezika.

Zašto je ranjivost kritična?

Ranjivost CVE-2026-111497 povezana je sa nepravilnim upravljanjem memorijom tokom dekompresije posebno pripremljenih Brotli podataka.

Ukoliko pogođena aplikacija obradi zlonamerni komprimovani sadržaj, može doći do oštećenja memorije i neočekivanog ponašanja programa.

U zavisnosti od uslova, moguće posledice uključuju:

• Neočekivani prekid rada aplikacije ili servisa.
• Oštećenje memorije.
• Potencijalno otkrivanje poverljivih podataka.
• Izvršavanje neovlašćenog koda u okviru prava pogođenog procesa.
• Kompromitovanje povezanih aplikativnih funkcionalnosti.

Ranjivost je ocenjena sa 9,2 od maksimalnih 10 bodova prema CVSS v4.0 sistemu.

Ipak, nije svaka instalacija koja sadrži Brotli automatski dostupna napadaču. Stvarna izloženost zavisi od toga da li aplikacija dekodira nepouzdane podatke i kako je implementirana obrada.

Poseban problem: Biblioteke koje aplikacija koristi indirektno

Jedan od najvažnijih nalaza odnosi se na Python aplikacije.

Popularni Python paketi kao što su requests, urllib3, httpx i aiohttp mogu koristiti Brotli dekompresiju kada su odgovarajuće biblioteke instalirane.

To znači da aplikacija može koristiti pogođenu komponentu iako njen izvorni kod nigde direktno ne poziva Brotli.

Napadač može pokušati da iskoristi takav scenario preko posebno pripremljenog HTTP odgovora ili zahteva, ukoliko ga aplikacija automatski dekodira.

Zbog toga nije dovoljno pregledati samo izvorni kod aplikacije. Potrebno je proveriti instalirane pakete, njihove zavisnosti i biblioteke unutar kontejnera.

Ko treba da reaguje?

Posebnu pažnju treba da obrate kompanije koje koriste:

• Python i Node.js API servise.
• Sisteme za preuzimanje i obradu podataka sa interneta.
• Veb-kraubere i automatizovane servise.
• Docker aplikacije i mikroservisnu infrastrukturu.
• HTTP klijente koji obrađuju komprimovane odgovore.
• Obrnute proksije, API gateway servise i druge komponente koje dekodiraju Brotli.

Najvažniji korak je utvrđivanje da li konkretna aplikacija koristi pogođenu implementaciju i da li su dostupne bezbednosne ispravke već instalirane.

Kako rešiti problem?

Prvi korak je ažuriranje pogođenih biblioteka i izvršnih okruženja na bezbednosno ispravljene verzije.

Kod Python aplikacija potrebno je proveriti pakete Brotli i brotlicffi. Kod Node.js aplikacija potrebno je proveriti verziju samog runtime okruženja.

Za Docker okruženja neophodno je obnoviti slike i ponovo pokrenuti kontejnere kako bi aplikacije zaista koristile ažurirane komponente.

Ukoliko zakrpa još nije dostupna za određeni proizvod, može se razmotriti privremeno isključivanje Brotli dekompresije nepouzdanog sadržaja, uz procenu uticaja na funkcionalnost.

Samo uklanjanje br iz zaglavlja Accept-Encoding nije potpuna zaštita, jer udaljeni server može poslati komprimovani odgovor i bez prethodnog zahteva klijenta.

Besplatno preuzimanje: Roster HTTP2Shell Security Audit

Kako bismo pomogli administratorima i programerima, pripremili smo besplatan dijagnostički alat Roster HTTP2Shell Security Audit.

Alat omogućava početnu lokalnu proveru Node.js i Python komponenti povezanih sa ranjivošću CVE-2026-111497.

Osnovne funkcionalnosti uključuju:

• Proveru dostupne Node.js verzije.
• Identifikaciju instaliranih Python Brotli paketa.
• Upozorenja za verzije ispod poznatih bezbednosnih minimuma.
• Pretragu standardnih projektnih datoteka sa zavisnostima.
• Osnovni pregled sistemskih Brotli paketa na podržanim Linux distribucijama.
• Generisanje JSON izveštaja.

Alat ne šalje podatke na spoljne servere, ne menja konfiguraciju sistema i ne pokušava da iskoristi ranjivosti.

VAŽNO: Roster HTTP2Shell Security Audit predstavlja početnu dijagnostičku proveru. Nije zamena za ažuriranje ranjivih komponenti, niti garantuje da je server u potpunosti bezbedan.

Bezbednost aplikacije zavisi i od njenih zavisnosti

Slučaj HTTP2Shell pokazuje koliko jedna ranjivost u zajedničkoj softverskoj komponenti može imati široke posledice.

Savremena aplikacija može koristiti desetine ili stotine biblioteka, a bezbednosni propust u jednoj od njih može uticati na ceo sistem.

Zbog toga redovno održavanje ne podrazumeva samo ažuriranje osnovne aplikacije već i proveru njenog kompletnog softverskog okruženja.

Roster Soft pruža usluge razvoja, administracije, održavanja i bezbednosne provere veb-aplikacija i serverskih sistema.

Naš cilj je da kompanijama i administratorima pružimo korisne informacije i praktične alate za prepoznavanje i smanjivanje bezbednosnih rizika.

Roster Soft – Bezbedniji digitalni sistemi.