Sweet Security предупредила, что уязвимость Brotli в Go может затронуть крупные HTTP-фреймворки

Sweet Security 25 октября представила исследование, связывающее уязвимость Node2Shell с реализацией библиотеки сжатия Brotli на языке Go. Израильская компания в сфере кибербезопасности сообщила, что инженер Томер Бен Гера выявил проблему в реализации на Go и исправление от 23 октября. Анализ компании обнаружил прямые или косвенные зависимости от библиотеки в Traefik, Fiber, Iris и fasthttp. Компания подчеркнула, что сама по себе зависимость не доказывает уязвимость системы или возможность доступа злоумышленника к затронутому коду. Подверженность риску зависит от версии библиотеки, конфигурации и того, поступают ли данные Brotli из недоверенных источников на декодирование.