CISA advierte sobre la explotación de la vulnerabilidad Node2Shell

La Agencia de Ciberseguridad e Infraestructura de EE.UU. (CISA) ha incluido la vulnerabilidad de Brotli, conocida como Node2Shell, en su catálogo de Vulnerabilidades Explotadas Conocidas (KEV). Dos firmas de seguridad han confirmado intentos de explotación en sus sistemas de honeypots.

La Agencia de Ciberseguridad e Infraestructura de EE.UU. (CISA) ha añadido la vulnerabilidad de Brotli conocida como Node2Shell a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV). Por separado, dos empresas de seguridad informan de que han registrado intentos de explotación contra sus honeypots.

Detalles técnicos de la vulnerabilidad Identificada como CVE-2026-111497 y también conocida como HTTP2Shell y Broccoli2Shell, el fallo es una escritura fuera de límites en el decodificador de Brotli, la biblioteca de compresión de datos desarrollada por Google.

Esta vulnerabilidad afecta a las versiones de Brotli desde la 1.0.3 hasta la 1.2.0. Mediante el uso de datos comprimidos especialmente elaborados, un atacante podría provocar el cierre de la aplicación, exponer el contenido de su memoria y, potencialmente, ejecutar código arbitrario.

Respuesta de los fabricantes y parches El error fue reportado por investigadores de OpenAI, y tanto Node.js como Google lanzaron correcciones el 21 de octubre. Microsoft, los mantenedores de dos paquetes de Python, Bun, Envoy e Istio también han publicado parches, y Palo Alto Networks está desplegando parches de emergencia para PAN-OS.

Imperva ha demostrado que la vulnerabilidad puede ser explotada para la ejecución de código en una imagen oficial de Node.js.

CISA añadió la CVE-2026-111497 al catálogo KEV el 27 de octubre, aunque no proporcionó información específica sobre los ataques. Se ha instruido a las agencias civiles federales para que solucionen el fallo antes del 10 de noviembre.

Evidencia de explotación y actividad de actores de amenazas Previdian, que monitoriza la actividad de explotación a través de su propia red de sensores, afirma haber registrado un intento de explotación dirigido a la CVE-2026-111497 el 27 de octubre, proveniente de una dirección IP con base en EE. UU. La empresa califica su confianza en la explotación como «confirmada».

«La confianza es el grado en que la evidencia respalda el tratamiento de esto como una explotación de esta vulnerabilidad. No significa que el intento haya tenido éxito», explica Previdian.

ELLIO, un laboratorio de ciberseguridad que monitoriza la actividad de reconocimiento y explotación masiva, afirma que sus sensores detectaron una solicitud maliciosa dirigida a Node.js 24.22.0 ejecutándose en sistemas x86-64 el 26 de octubre. El día anterior, una herramienta disponible públicamente había enviado datos comprimidos en Brotli a sus sensores para determinar qué hosts procesaban dichos datos.

El intento de explotación provino de una dirección IP que ELLIO había detectado anteriormente atacando las vulnerabilidades PHP2Shell y sondeando dispositivos VPN de Palo Alto Networks y Fortinet. «Esto es indicativo de que la RCE está siendo adoptada por un operador centrado en la explotación masiva», afirmó ELLIO.

Según el análisis de ELLIO, el exploit utilizado en el ataque estaba roto. Sus componentes de entrega coincidían con el código de prueba de concepto (PoC) público, pero la etapa final, que el atacante escribió por sí mismo, no resultó en una shell en ninguno de los 50 tests que ELLIO realizó contra una instancia de Node.js vulnerable.

«Es probable que fuera un intento de primera generación disparado en ataques activos antes de que el operador probara completamente la etapa final contra un objetivo real; un marco de trabajo funcional con las últimas 12 instrucciones defectuosas», señaló ELLIO.

La empresa ha logrado por sí misma la ejecución de código contra cuatro configuraciones diferentes que ejecutaban una compilación oficial de Node.js en x86-64. También advierte que los intentos de explotación fallidos pueden provocar el cierre del proceso objetivo, lo que significa que pueden ser utilizados en ataques de denegación de servicio (DoS).

Impacto en productos de Broadcom Broadcom advirtió el 27 de octubre que SDDC Manager en VMware Cloud Foundation y vSphere Foundation se ve afectado por la CVE-2026-111497 debido a que utiliza Node.js.

La empresa califica el problema como crítico, con una puntuación CVSS de 9.8, para SDDC Manager 9.1.1. Para las versiones 9.0.x, 9.1.0 y 5.2.x, califica el fallo como importante, con una puntuación CVSS de 7.5.

«Un actor de amenazas con acceso de red a SDDC Manager puede explotar este problema para ejecutar código arbitrario», afirmó Broadcom.

Los parches están pendientes para todas las versiones afectadas y Broadcom ha publicado soluciones alternativas en dos artículos de su base de conocimientos. Su aviso no menciona que el fallo esté siendo explotado en ataques activos.\n El panorama general muestra una vulnerabilidad crítica en una biblioteca de compresión ampliamente utilizada que ya está siendo buscada por actores de amenazas para ejecutar código en infraestructuras críticas.

Fuente:
https://www.securityweek.com/cisa-warns-of-node2shell-exploitation-as-honeypots-log-attack-attempts/

Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó un LLM, al ser una traducción automática puede contener errores gramaticales o de otro tipo, me pueden enviar un mensaje.