Sweet Security пропонує 30 днів безкоштовного захисту від HTTP2Shell під час виконання

Sweet Security 27 жовтня оголосила, що організації, яких стосується HTTP2Shell, можуть безкоштовно отримати 30 днів її захисту під час виконання, зокрема підприємства, які ще не є клієнтами. Пропозиція під назвою Sweet Safety Net надає датчики для середовища виконання й віртуальні виправлення, поки команди застосунків працюють над постійними рішеннями. Компанія стверджує, що її датчики забезпечують дотримання політики захисту, яка блокує спроби експлуатації до того, як вони досягнуть уразливого коду, без потреби змінювати код застосунків. Генеральний директор і співзасновник Дрор Кашті заявив: «Ми саме зараз спостерігаємо спроби експлуатації HTTP2Shell у реальних середовищах». За даними Sweet, робочі навантаження отримують статус Protected після того, як датчики підтверджують застосування захисту; захист зберігається під час масштабування або перезапуску навантажень. Це опис роботи продукту самою компанією. Sweet стверджує, що спостерігала спроби експлуатації у 88% середовищ, які вона відстежує. Цей показник стосується середовищ, які відстежує компанія. В оголошенні визначено уражені реалізації декодування Brotli в Node.js, Bun, Python, Envoy та Istio, а також у фреймворках Go Traefik, Fiber та Iris. Запропонований захист має діяти, поки організації готують постійні виправлення. Оголошення з’явилося після повідомлення Sweet із Тель-Авіва від 25 жовтня про те, що її дослідження виявило пов’язану загрозу під час декодування Brotli у фреймворках Go. У попередньому повідомленні застерігалося, що сама наявність залежності не доводить можливості експлуатації: фактична вразливість залежить від версій, використання декодера та конфігурації.