Node2Shell ช่องโหว่วิกฤตใน Brotli กระทบ Microsoft และ Node.js

ช่องโหว่ร้ายแรงในไลบรารีบีบอัดข้อมูล Brotli ของ Google ซึ่งมีรหัสติดตามคือ CVE-2026-111497 และถูกตั้งชื่อว่า Node2Shell กำลังนำไปสู่การอัปเดตความปลอดภัยครั้งใหญ่จาก Microsoft, โปรเจกต์ Node.js และผู้ดูแลแพ็กเกจ Python สองราย

Node.js และ Python packages ได้รับการแพตช์ไปเมื่อสัปดาห์ที่แล้ว ขณะที่ Microsoft ได้ดำเนินการตามมาเมื่อวันที่ 25 ตุลาคม โดยออกตัวแก้ไขสำหรับ .NET, Visual Studio และ PowerShell นอกจากนี้ยังมีซอฟต์แวร์อย่าง Bun, Envoy และ Istio ที่ได้รับการอัปเดตแล้วเช่นกัน

Brotli เป็นเทคโนโลยีที่นิยมใช้ในการบีบอัดข้อมูลผ่านเว็บ ซึ่งตัวถอดรหัส (decoder) ของมันถูกฝังอยู่ในแอปพลิเคชันและไลบรารีจำนวนมาก โดยข้อบกพร่องนี้ถูกระบุว่าเป็นช่องโหว่ประเภท out-of-bounds write ส่งผลกระทบต่อ Brotli เวอร์ชัน 1.0.3 ถึง 1.2.0 ซึ่งทาง Google ให้คะแนนความรุนแรง CVSS v4 สูงถึง 9.2 (ระดับวิกฤต) โดยมีการแก้ไขบรรจุอยู่ในเวอร์ชัน 1.0.10, 1.1.1 และ 1.2.1 เรียบร้อยแล้ว

โปรเจกต์ Node.js ระบุว่าผู้โจมตีสามารถสร้างข้อมูลนำเข้าพิเศษเพื่อดันข้อมูลให้เกินขีดจำกัดของ buffer ที่ตัวถอดรหัสใช้งาน ซึ่งการเสียหายของหน่วยความจำนี้อาจทำให้ระบบหยุดชะงัก (crash) ข้อมูลรั่วไหล หรืออาจอนุญาตให้ผู้โจมตีที่ไม่ต้องผ่านการตรวจสอบสิทธิ์สามารถรันโค้ดตามอำเภอใจ (arbitrary code) ได้ โดยผู้ค้นพบคือทีม OpenAI Codex Security ระหว่างการทำ red-teaming

สาธิตการรันโค้ดบนอิมเมจ Node.js อย่างเป็นทางการ

Imperva ได้แสดงให้เห็นว่าช่องโหว่นี้สามารถ ถูกนำไปใช้เพื่อรันโค้ด บนอิมเมจทางการของ Node.js 24.22.0 สำหรับ Linux arm64 ได้จริง ผ่านการส่งข้อมูลอันตรายในรูปแบบการตอบสนองจากเซิร์ฟเวอร์ หรือในส่วน body ของคำขอ (request body) ที่ประมวลผลโดย Express 5 หรือ body-parser 2 อย่างไรก็ตาม Imperva ไม่ได้เปิดเผยโค้ด exploit ต่อสาธารณะ

โครงการ Patch the Planet ของ OpenAI ระบุใน คำแนะนำ ว่าแอปพลิเคชันใดก็ตามที่ส่งข้อมูลที่ผู้โจมตีควบคุมได้ไปยังตัวถอดรหัส Google Brotli ล้วนมีความเสี่ยง ทั้งในส่วน HTTP request body, การตอบสนองจากเซิร์ฟเวอร์ที่ไม่น่าเชื่อถือ หรือไฟล์ที่ถูกบีบอัด

ปัจจุบันยังไม่มีรายงานการโจมตีจริงในวงกว้าง และมีรายงานว่า proof-of-concept exploit บน GitHub มีรายงานว่า ทำงานได้เฉพาะกับบิลด์ที่ลดการป้องกันลงเท่านั้น ขณะที่นักวิจัยบางส่วน โต้แย้งว่า ข้อบกพร่องนี้อาจใช้ได้เพียงเพื่อการโจมตีแบบปฏิเสธการให้บริการ (DoS) เท่านั้น

ผลิตภัณฑ์ Microsoft และแพ็กเกจ Python ที่ได้รับผลกระทบ

การอัปเดตของ Microsoft ครอบคลุม .NET runtime เวอร์ชัน 8.0.33, 9.0.22, 10.0.14 รวมถึง Visual Studio 2019, 2022, 2026 และ PowerShell 7.4 ถึง 7.6 โดย Microsoft จัดประเภทเป็นปัญหาการยกระดับสิทธิ์ (elevation of privilege) ที่มีโอกาสถูกโจมตีได้สูง ส่วนใน Python พบผลกระทบในแพ็กเกจ PyPI คือ Brotli และ brotlicffi ซึ่งแพตช์แล้วในเวอร์ชัน 1.2.1 และ 1.2.1.0 ตามลำดับ

อย่างไรก็ตาม ระบบติดตามสาธารณะ ระบุว่ายังมีโปรเจกต์อีกหลายรายการที่ยังไม่ได้รับการแพตช์ เช่น DuckDB, Apache Arrow, 7-Zip-zstd และ p7zip โดยผู้เชี่ยวชาญย้ำว่าการอัปเดตจำเป็นต้องรีสตาร์ทบริการและสร้างคอนเทนเนอร์อิมเมจใหม่ เนื่องจากกระบวนการที่ทำงานค้างอยู่จะยังคงใช้โค้ดที่มีช่องโหว่เดิมต่อไป