Sweet Security warnt: Brotli-Schwachstelle in Go könnte wichtige HTTP-Frameworks betreffen

Sweet Security veröffentlichte am 25. Oktober Forschungsergebnisse, die die Schwachstelle Node2Shell mit einer Go-Implementierung der Kompressionsbibliothek Brotli in Verbindung bringen. Nach Angaben des israelischen Cybersicherheitsunternehmens identifizierte der Ingenieur Tomer Ben Gera das Problem in der Go-Implementierung und eine Korrektur vom 23. Oktober. Die Untersuchung ergab direkte oder indirekte Abhängigkeiten von der Bibliothek in Traefik, Fiber, Iris und fasthttp. Das Unternehmen betonte, dass eine Abhängigkeit allein weder die Verwundbarkeit eines Systems noch den Zugriff eines Angreifers auf den betroffenen Code belegt. Ob ein System betroffen ist, hängt von der Bibliotheksversion, der Konfiguration und davon ab, ob nicht vertrauenswürdige Brotli-Eingaben zur Dekodierung gelangen.