Investigadores de seguridad de Imperva han demostrado una vulnerabilidad crítica, denominada ‘Node2Shell’, que permite la ejecución remota de código (RCE) en compilaciones oficiales de Node.js. Esta falla, identificada como CVE-2026-111497, se activa al procesar datos Brotli maliciosamente elaborados, afectando directamente a aplicaciones que utilizan el decodificador Brotli incluido en las versiones de Node.js.
La vulnerabilidad reside en cómo el decodificador Brotli de Node.js maneja un punto imposible en un flujo de datos comprimido. En lugar de detenerse con un error, el decodificador entra en un estado inválido, lo que lleva a una escritura fuera de los límites de la memoria. Este problema puede ser explotado tanto cuando una aplicación Node.js lee una respuesta comprimida con Brotli a través de fetch(), como cuando el middleware (por ejemplo, los body parsers de Express 5) decodifica un cuerpo de solicitud Brotli. Imperva logró reproducir la ejecución de código en la imagen oficial de Node.js 24.22.0 para Linux arm64, aunque la explotación en otras arquitecturas y líneas 22.x y 26.x también es posible, aunque no todas fueron probadas específicamente.
La falla afecta a las líneas 22.x, 24.x y 26.x de Node.js. Node.js ha lanzado actualizaciones de seguridad el 21 de octubre, corrigiendo la vulnerabilidad. Por ejemplo, la versión 24.22.1 ya incluye el parche. Las líneas 20.x y anteriores, que han llegado al final de su vida útil, no recibirán esta corrección, por lo que se recomienda encarecidamente migrar a una línea soportada. Actualmente, no se ha reportado explotación de esta falla en entornos reales, lo que ofrece una ventana para la implementación de las medidas correctivas.
La acción más crítica y efectiva es actualizar inmediatamente a una versión parcheada de Node.js. Es fundamental asegurarse de que los contenedores y otros artefactos que empaquetan binarios de Node.js también se actualicen. Dado que no existe una solución alternativa dentro del propio runtime de Node.js, si la actualización no es posible de inmediato, se sugiere limitar el tráfico Brotli no confiable en las rutas afectadas. Además, los Web Application Firewalls (WAF) pueden ser configurados con reglas para bloquear solicitudes entrantes maliciosas que intenten explotar esta vulnerabilidad.
Qué significa para tu empresa: Una vulnerabilidad como Node2Shell subraya la importancia de mantener la infraestructura de software actualizada y protegida. Las empresas que utilizan Node.js en sus aplicaciones deben priorizar la aplicación de parches de seguridad para evitar la ejecución remota de código, que puede llevar a compromisos severos del sistema. Nuestros servicios de WAF para aplicaciones pueden mitigar de inmediato ataques que intenten explotar esta clase de vulnerabilidades, proporcionando una capa de protección adicional mientras se aplican las actualizaciones necesarias en los sistemas.
Fuente original: The Hacker News — ver artículo →
#cve#parches-seguridad#exploits#vulnerabilidades#seguridad-nube