Researchers Demonstrate Node2Shell RCE Exploit on Node.js Build Using Crafted Brotli Data

Vulnérabilité critique dans le décodeur Brotli de Node.js (Node2Shell)

Des chercheurs en cybersécurité ont démontré une attaque appelée Node2Shell, permettant l’exécution de code à distance (RCE) sur des builds officiels de Node.js. L’exploitation repose sur l’envoi de données Brotli malveillantes qui provoquent une écriture hors limites dans la mémoire du décodeur.

Points clés :

• Vecteur d’attaque : L’exécution de code survient lorsque le décodeur traite des flux Brotli corrompus, soit via la fonction fetch() de Node.js (côté client), soit via des middlewares de parsing de requêtes (ex: Express 5, body-parser).
• Gravité : Contrairement aux preuves de concept précédentes nécessitant des environnements fragilisés, Node2Shell fonctionne sur des images standards (testé sur Linux arm64).
• État de la menace : Aucune exploitation active dans la nature n’a été signalée à ce jour.

Vulnérabilité :

• CVE-2026-111497 : Faille dans le décodeur Brotli intégré à Node.js, provoquant une corruption mémoire suite à une mauvaise gestion des changements de blocs dans le flux compressé.

Recommandations :

• Mise à jour immédiate : Appliquer les correctifs officiels publiés par Node.js le 21 octobre 2026 (ex: passer à la version 24.22.1).
• Migration : Les versions en fin de vie (20.x et antérieures) ne recevant pas de correctifs, une migration vers une version supportée (22.x, 24.x ou 26.x) est impérative.
• Mesures temporaires : Si la mise à jour n’est pas immédiate, il est recommandé de mettre en place des règles de filtrage (WAF) pour inspecter et bloquer les flux Brotli suspects, bien que cela ne constitue qu’une atténuation partielle et non une résolution du problème.

Source