Node2Shell에서 HTTP2Shell로 확대, 다수 HTTP 라이브러리와 앱에 영향

CVE-2026-111497은 Google Brotli 디코더의 메모리 안전성 취약점으로, Node.js뿐 아니라 같은 디코더를 사용하는 Python 패키지와 HTTP 라이브러리, 서비스에도 영향을 미침 공격자가 조작한 Brotli 압축 데이터를 해제하면 메모리 손상, 민감정보 유출, 프로세스 중단이나 임의 코드 실행으로 이어질 수 있으며, 악성 클라이언트와 악성 서버 양쪽에서 공격할 수 있음 Python에서는 HTTP 클라이언트가 전이 의존성으로 설치된 Brotli를 자동으로 사용할 수 있어, 애플리케이션 코드가 직접 가져오지 않아도 노출될 수 있음 Brotli 1.2.1, brotlicffi 1.2.1.0과 주요 런타임의 수정 버전이 나왔으며, 내장하거나 정적으로 연결한 제품은 애플리케이션과 컨테이너를 다시 빌드하고 배포해야 함 즉시 업데이트할 수 없다면 Brotli 디코딩을 비활성화하거나 디코딩 전에 요청과 응답을 차단해야 함. Accept-Encoding에서 br만 제거하는 조치로는 악성 서버의 응답을 막을 수 없음 취약점의 범위와 발견 경위 Brotli는 Google이 개발한 무손실 압축 알고리듬이자 데이터 형식으로, HTML, CSS, JavaScript 등 웹 콘텐츠의 HTTP 압축에 널리 사용됨 CVE-2026-111497은 모든 플랫폼의 Brotli 1.0.3~1.2.0에 영향을 주는 범위 밖 쓰기 취약점임 인증되지 않은 원격 공격자가 조작한 압축 스트림으로 메모리를 손상시키거나 민감정보를 유출하고, 프로세스를 중단시키거나 잠재적으로 임의 코드를 실행할 수 있음 CVSS v4.0 점수는 9.2, Critical이며, Node.js는 심각도를 높음으로 평가함 CVE에는 반환값 미검사인 CWE-252와 범위 밖 쓰기인 CWE-787이 연결돼 있음 Node2Shell로 알려진 문제는 Node.js에 내장된 Brotli에서 시작해 Python과 다른 HTTP 소프트웨어로 영향 범위가 확대됨 Node.js에서는 내장 fetch()나 body-parser처럼 공격자가 제어한 Brotli 데이터를 해제하는 경로가 노출될 수 있음 Node.js 공개 다음 날 Python도 같은 결함을 수정하는 보안 업데이트를 공개함 OpenAI는 2월에 취약점을 발견했으며, 보안 권고에서 인증 없는 원격 코드 실행이 양방향으로 가능하다고 밝힘 악성 클라이언트는 미패치 서버를, 악성 서버는 압축 응답을 수락하는 미패치 클라이언...