LONDON (IT BOLTWISE) – Eine kritische Brotli-Sicherheitslücke (CVE-2026-111497) ermöglicht mit speziell präparierten Daten einen Speicherüberlauf im Streaming-Decoder. Betroffen sind unter anderem Node.js, Python-Umgebungen sowie weitere HTTP-Clients wie urllib3, requests und httpx. Microsoft hat für.NET einen Notfall-Patch veröffentlicht und warnt vor potenzieller Rechteausweitung. Admins müssen aktualisierte Prozesse neu starten und betroffene Container neu bauen.
Eine als HTTP2Shell bekannt gewordene Schwachstelle in der Brotli-Decodierbibliothek trifft gleich mehrere Software-Ökosysteme mit voller Wucht. Technisch dahinter steckt ein Problem im Streaming-Decoder: Durch einen speziellen Block-Wechsel interpretiert der Decoder den Datenstrom als „mehr Eingabe erforderlich“, obwohl es sich um einen ungültigen Formatwechsel handelt. In der Folge werden Eingabebytes weiter in einen internen Puffer geschrieben, der nur acht Bytes aufnehmen soll, und genau diese Out-of-Bounds-Schreibzugriffe können Speicher beschädigen – mit den bekannten Ausfall- und Kompromittierungsrisiken bis hin zu Remote Code Execution.
Gelistet ist das Ganze als CVE-2026-111497. In der Praxis kursiert die Lücke unter mehreren Aliasnamen, etwa „Broccoli2Shell“ und „Node2Shell“, weil die Schwachstelle zunächst in einem Kontext rund um Node.js aufgefallen war, später aber auch die Brotli-Implementierung außerhalb dieses unmittelbaren Bereichs in den Fokus rückte. Die Brotli-Versionen, die laut Fallbeschreibung die Schwachstelle enthalten, reichen von 1.0.3 bis 1.0.9 sowie 1.1.0 und 1.2.0. Damit ist es nicht bei einem einzigen Framework-Fall geblieben, sondern das Risiko betrifft jede Software, die verwundbare Brotli-Binaries oder entsprechend gebundelte Decoder-Komponenten nutzt.
Der Name HTTP2Shell ist dabei vor allem eine Warnmetapher für den typischen Angriffsweg: Angreifer können HTTP-Clients und -Server ausnutzen, indem sie kontrollierte Brotli-Daten so in Responses oder Requests einschleusen, dass Anwendungen beim Dekomprimieren in den gefährlichen Decoderpfad laufen. Entscheidend ist: Die Lücke ist nicht strikt auf HTTP/2 beschränkt. Damit erweitert sich die Angriffsfläche auf klassische HTTP-Stacks, solange dort Brotli in einer verwundbaren Version oder in einem betroffenen Build genutzt wird. In der Beschreibung werden unter anderem Python-HTTP-Clients wie urllib3 (mit Brotli-Integration), requests, httpx und aiohttp genannt, wenn sie mit einem verwundbaren Brotli-Decoder konfiguriert sind.
Node.js selbst liefert den besonders dringlichen Handlungsdruck, weil die Schwachstelle als Buffer Overflow ausgeführt wird und damit mehrere Schadensszenarien abdecken kann: von einem Crash der Prozesse über das Auslesen sensibler Speicherbereiche bis hin zur Möglichkeit für Remote Code Execution (RCE). Entsprechend wird die Problematik in einer verwertbaren technischen Kette beschrieben: Anwendungen müssen nur dazu gebracht werden, bösartige Brotli-komprimierte Daten zu dekomprimieren – etwa indem sie eine URL abrufen und der Server eine komprimierte HTTP-Antwort ausliefert, oder indem eine komprimierte Anfrage direkt an einen Server gesendet wird, der die Daten serverseitig dekodiert. Für die Verteidigung heißt das: Nicht nur „Request validieren“, sondern vor allem „Decoder-Versionen bereinigen“.
Die Gegenmaßnahmen wurden entlang der betroffenen Komponenten priorisiert. Laut Beschreibung wurden die Upstream-Brotli-Fixes bereits im Februar im Projektcode commitet, stabile Fixes aber anschließend von Node.js und vom Brotli-Projekt für Nutzer bereitgestellt – mit einem Zeitbezug auf den 21. Oktober für die stabilen Versionen und einer öffentlichen Offenlegung am nächsten Tag. Für Python-Packages wurden die entsprechenden Artefakte später verfügbar gemacht. Konkret werden als gepatchte Versionen genannt: Google Brotli 1.0.10, 1.1.1, 1.2.1; Node.js 22.23.4, 24.22.1, 26.12.1; sowie Python Brotli 1.2.1 und Python brotlicffi 1.2.1.0. Zusätzlich wurden Proof-of-Concept-Exploits veröffentlicht; zugleich gibt es in der Meldung jedoch keine Hinweise auf bösartige Ausnutzung „in freier Wildbahn“. Dennoch ist „kein beobachteter Missbrauch“ kein Sicherheitsargument – die Lücke ist komplex genug, dass eine schnelle, breite Verteilung der passenden Bedingungen genügt.
Für Administratoren und Plattformteams folgt daraus ein klarer Betriebsablauf: Nach dem Update müssen betroffene Prozesse neu gestartet werden; in Container-Umgebungen sind die jeweiligen Images zu aktualisieren, neu zu bauen und anschließend redeployen. Ein weiterer Stolperstein liegt in der Praxis der „eingebauten“ Bibliotheken: Selbst wenn eine System-Brotli-Komponente aktualisiert ist, können Anwendungen in Node.js-Deployments oder andere Tools weiterhin eine eigene, gebundene Decoder-Version ausführen und damit weiterhin verwundbar bleiben. Ebenso bleibt ein rein reaktives Blocking von eingehenden Brotli-Anfragen allein unzureichend, wenn der Angreifer den Pfad über eine komprimierte HTTP-Response für das Ziel ausnutzen kann.
Microsoft hat derweil für.NET eine Notfallaktualisierung bereitgestellt und dabei explizit vor dem Risiko einer Rechteausweitung bei erfolgreicher Ausnutzung auf Systemen mit verwundbarer.NET-Version gewarnt. Für Teams, die nicht sofort patchen können, nennt die Beschreibung als Übergang zwei Maßnahmen: In Python-Anwendungen Brotli-Unterstützung entfernen und im Netzwerkverkehr Brotli-komprimierte Requests an Proxy oder Firewall blockieren. Das ist zwar nicht so „sauber“ wie ein Fix im Decoder selbst, reduziert aber die Wahrscheinlichkeit, dass der gefährliche Dekompressionspfad überhaupt angestoßen wird – solange man zugleich sicherstellt, dass damit keine Response-Variante weiter offen bleibt. Insgesamt zeigt der Fall, wie eng die Kette aus Bibliotheks-Dependencies, Laufzeit-Integrationen und HTTP-Workflows zusammenspielt: Wer nur die Oberfläche aktualisiert, aber den Decoderpfad über Deployments, Container-Images und Bundles hinweg nicht prüft, lässt häufig genau die zweite, unsichtbare Angriffsseite im System bestehen.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "HTTP2Shell: Brotli-Lücke in Node.js und.NET zwingt zu Notfall-Patches" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "HTTP2Shell: Brotli-Lücke in Node.js und.NET zwingt zu Notfall-Patches" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »HTTP2Shell: Brotli-Lücke in Node.js und.NET zwingt zu Notfall-Patches« bei Google Deutschland suchen, bei Bing oder Google News!