Node2Shell: Sérfræðingar sýna fram á hættuleg galli í Node.js
Öryggisfræðingar hjá Imperva sýndu fram á að illgert gögn í Brotli-þjöppun geta valdið því að Node.js keyri árásarkóða. Gallinn (CVE-2026-111497) var fundinn í opinberri útgáfu Node.js 24.22.0.
Öryggisfræðingar hjá Imperva hafa sýnt fram á alvarlega veikleika í Node.js sem gerir árásarmanninum kleift að keyra eigin kóða á viðkvæmum kerfum. Gallinn felst í Brotli-þjöppunarbúnaðinum sem er innbyggður í Node.js og nefnist CVE-2026-111497.
Fræðilegur sönnunargagn (proof of concept) sem kallast Node2Shell tókst að keyra árásarkóða á opinberri útgáfu Node.js 24.22.0 fyrir Linux arm64 án þess að nota villuleit eða sérsniðna útgáfu. Árásarmaðurinn þurfti aðeins að senda illgert Brotli-gögn til forritanna sem nota þennan þjöppun.
Node.js hefur nú birt viðvörun um gallann og hvetur notendur til að uppfæra strax. Þetta er mikilvæg öryggisupplýsing fyrir alla sem nota Node.js í framleiðsluumhverfi, þar sem gallinn getur leitt til algerrar yfirtöku á viðkomandi kerfum.
Hvað þýðir þetta fyrir Ísland?
Node.js er mikið notað í íslenskum tæknifyrirtækjum og vefsíðum. Íslenskir þróunaraðilar sem nota Node.js ættu að uppfæra strax til að verja kerfi sín fyrir þessari árás.
