Sweet Security เตือนช่องโหว่ Brotli เวอร์ชัน Go อาจกระทบเฟรมเวิร์ก HTTP รายใหญ่

Sweet Security เปิดเผยงานวิจัยเมื่อวันที่ 25 ตุลาคม ซึ่งเชื่อมโยงช่องโหว่ Node2Shell กับไลบรารีบีบอัดข้อมูล Brotli ที่พัฒนาด้วยภาษา Go บริษัทความมั่นคงปลอดภัยไซเบอร์ของอิสราเอลแห่งนี้ระบุว่า โทเมอร์ เบน เกรา วิศวกรของบริษัท พบปัญหาในเวอร์ชัน Go และการแก้ไขเมื่อวันที่ 23 ตุลาคม การตรวจสอบของบริษัทพบว่า Traefik, Fiber, Iris และ fasthttp พึ่งพาไลบรารีนี้โดยตรงหรือโดยอ้อม บริษัทเตือนว่าการพึ่งพาไลบรารีเพียงอย่างเดียวไม่ได้ยืนยันว่าระบบมีช่องโหว่หรือผู้โจมตีสามารถเข้าถึงโค้ดที่ได้รับผลกระทบได้ ความเสี่ยงขึ้นอยู่กับเวอร์ชันของไลบรารี การตั้งค่า และการที่ข้อมูลนำเข้า Brotli ที่ไม่น่าเชื่อถือเข้าถึงกระบวนการถอดรหัสหรือไม่