Sweet Security prévient qu’une faille de Brotli en Go pourrait toucher d’importants frameworks HTTP

Sweet Security a publié le 25 octobre une étude reliant la vulnérabilité Node2Shell à une implémentation en Go de la bibliothèque de compression Brotli. L’entreprise israélienne de cybersécurité a indiqué que l’ingénieur Tomer Ben Gera avait identifié le problème dans l’implémentation Go ainsi qu’un correctif du 23 octobre. Son analyse a relevé des dépendances directes ou indirectes à cette bibliothèque dans Traefik, Fiber, Iris et fasthttp. L’entreprise a souligné qu’une dépendance ne suffit pas à établir qu’un système est vulnérable ou qu’un attaquant peut accéder au code concerné. L’exposition dépend de la version de la bibliothèque, de sa configuration et du fait que des données Brotli provenant de sources non fiables parviennent ou non au décodage.