Специалисты по кибербезопасности из компании Imperva продемонстрировали уязвимость, позволяющую злоумышленникам выполнять произвольный код на официальной сборке Node.js. Уязвимость, известная как 'Node2Shell', была продемонстрирована на версии 24.22.0 для Linux arm64 без использования отладчиков или индивидуальных сборок. Для реализации атаки исследователи использовали специально подготовленные данные Brotli, которые были переданы в встроенный декодер Brotli.

Уязвимость отмечена под идентификатором CVE-2026-111497 и представляет собой серьезную угрозу для приложений, работающих на Node.js, так как злоумышленники могут получить доступ к системным ресурсам и выполнять произвольные команды.

Исследование показало, что даже стандартные установки Node.js могут быть подвержены атакам, если они обрабатывают неправильно сформированные данные. Это подчеркивает важность регулярного обновления программного обеспечения и применения мер по защите от возможных уязвимостей.

Команда Node.js уже уведомлена о проблеме, и ожидается, что в ближайшее время будет выпущено обновление для устранения данной уязвимости. Пользователям рекомендуется внимательно следить за обновлениями и применять их как можно скорее, чтобы минимизировать риски.

Данный инцидент служит напоминанием о важности соблюдения принципов безопасной разработки и тестирования программного обеспечения, особенно в свете растущих угроз в сфере кибербезопасности.

Источник новости:
The Hacker News

Читать полностью