Sweet Security попередила, що вразливість Brotli у Go може зачепити провідні HTTP-фреймворки

Sweet Security 25 жовтня оприлюднила дослідження, яке пов’язує вразливість Node2Shell із реалізацією бібліотеки стиснення Brotli мовою Go. Ізраїльська компанія з кібербезпеки повідомила, що інженер Томер Бен Гера виявив проблему в реалізації на Go та виправлення від 23 жовтня. Аналіз компанії виявив прямі або непрямі залежності від бібліотеки у Traefik, Fiber, Iris і fasthttp. Компанія застерегла, що сама залежність не доводить вразливості системи чи можливості доступу зловмисника до ураженого коду. Рівень ризику залежить від версії бібліотеки, конфігурації та від того, чи потрапляють дані Brotli з ненадійних джерел до декодування.