Falha crítica HTTP2Shell afeta Brotli, tecnologia do Google, e exige atualizações

Uma falha crítica de segurança, batizada de HTTP2Shell, foi identificada em uma biblioteca de compressão de dados amplamente utilizada na internet, o Brotli, tecnologia desenvolvida pelo Google. A vulnerabilidade, classificada com gravidade 9,2 em uma escala de dez, pode permitir que invasores executem comandos remotos em sistemas afetados, além de causar corrupção de memória, vazamento de informações e interrupção de serviços.

O problema, também conhecido como Node2Shell e Broccoli2Shell, reside na forma como certas versões do decodificador Brotli processam dados malformados. Uma sequência de dados especialmente preparada pode levar a um buffer overflow, onde informações são escritas além dos limites de memória alocados, corrompendo o processo e abrindo brechas de segurança.

Impacto e softwares afetados

A exploração da falha exige que um atacante consiga fazer com que uma aplicação processe dados Brotli maliciosos. Isso pode ocorrer quando um programa descompacta conteúdo de fontes não confiáveis. Embora o nome sugira uma ligação com o protocolo HTTP/2, a vulnerabilidade está no decodificador em si e pode afetar diversas aplicações que o utilizam, incluindo softwares baseados em Node.js, aplicações .NET e pacotes de Python.

A gravidade da falha levou diversas empresas e projetos a lançarem atualizações de segurança de forma emergencial. O Google corrigiu a biblioteca Brotli em 21 de outubro, com as versões 1.0.10, 1.1.1 e 1.2.1. No mesmo dia, o Node.js liberou correções para suas linhas 22.x, 24.x e 26.x. A Microsoft publicou uma atualização para o .NET alertando sobre o risco de elevação de privilégios.

Correções e recomendações para administradores

Pacotes de Python que utilizam o decodificador Brotli também receberam atualizações em 23 de outubro. As versões corrigidas incluem:

• Brotli: versões 1.0.10, 1.1.1 e 1.2.1
• Node.js: versões 22.23.4, 24.22.1 e 26.12.1
• Python Brotli: versão 1.2.1
• Python brotlicffi: versão 1.2.1.0

É crucial notar que a vulnerabilidade não afeta todos os sistemas que usam essas tecnologias, mas sim dependendo das versões instaladas e de como as aplicações processam os dados. Administradores de sistemas precisam verificar as dependências e garantir que os componentes efetivamente utilizados sejam atualizados. Após a correção, pode ser necessário reiniciar processos e reconstruir imagens de contêineres.

Medidas temporárias, como remover pacotes Brotli vulneráveis em aplicações Python ou configurar firewalls para bloquear requisições Brotli específicas, podem reduzir a exposição em casos onde a atualização imediata não é possível. Para o Node.js, a atualização é a solução mais completa.

Desafios na segurança da infraestrutura digital

A corrida para corrigir o HTTP2Shell evidencia um desafio maior na manutenção da segurança da infraestrutura digital: a dependência de inúmeros componentes e bibliotecas de software, nem sempre atualizados regularmente. O caso do PHP, que também enfrentou vulnerabilidades recentes como a PHP2Shell, ilustra a dificuldade de proteger sistemas complexos mantidos por diferentes organizações e com recursos limitados de manutenção.

A conscientização dos responsáveis por sites sobre a necessidade de aplicar correções de segurança é um obstáculo. A proteção contra falhas como a HTTP2Shell depende, em última instância, da diligência dos desenvolvedores e administradores em manter seus sistemas e componentes atualizados. A disponibilidade de provas de conceito públicas, mesmo sem exploração maliciosa confirmada, torna a verificação e a aplicação das correções uma prioridade.