Sweet Security、Go版Brotliの欠陥が主要HTTPフレームワークに影響する可能性を警告

Sweet Securityは10月25日、Node2Shellの脆弱性と圧縮ライブラリBrotliのGo実装との関連を示す研究を公表した。イスラエルのサイバーセキュリティー企業である同社によると、エンジニアのトメル・ベン・ゲラ氏がGo実装の問題と10月23日の修正を特定した。同社の調査では、Traefik、Fiber、Iris、fasthttpがこのライブラリに直接または間接的に依存していることが分かった。同社は、依存関係があるだけではシステムに脆弱性があるとも、攻撃者が影響を受けるコードに到達できるとも判断できないと注意を促した。影響を受けるかどうかは、ライブラリのバージョン、設定、信頼できないBrotli入力がデコード処理に渡されるかどうかによって異なる。