---

📋 Inhaltsverzeichnis

• Zusammenfassung
• Technische Detailanalyse
  • Ursachenanalyse
  • Angriffsvektoren
  • Auswirkungsbewertung
• Betroffene & behobene Versionen
• Erkennung & Audit
• Behebung & Patchen
  • Upgrade der nativen Laufzeitumgebung
  • Docker-/Container-Layer-Korrektur
• Minderungsstrategien
• Referenzen & Ressourcen
• Haftungsausschluss

---

📌 Zusammenfassung

Die im Oktober 2026 offengelegte Schwachstelle Node2Shell (CVE-2026-111497) ist eine kritische Sicherheitslücke, die die native Brotli-Dekomprimierungskomponente betrifft, die direkt in die Node.js-Laufzeit-Binärdatei eingebettet ist.

Der Fehler ermöglicht es entfernten Angreifern, beliebigen Code auszuführen oder die Anwendung zum Absturz zu bringen, indem sie speziell präparierte, fehlerhafte Brotli-komprimierte Byteströme an jede Node.js-Anwendung senden, die komprimierte Eingaben verarbeitet (z. B. HTTP-Request-Body-Parser, native fetch()-Aufrufe oder WebSocket-Streams).

⚠️ KRITISCHER HINWEIS: Da sich der anfällige Code in deps/brotli befindet, das in die Node.js-Executable selbst kompiliert wird, behebt das Aktualisieren von npm-Abhängigkeiten im User-Space diese Schwachstelle nicht. Die Node.js-Binär-Laufzeitumgebung muss aktualisiert werden.

---

⚙️ Technische Detailanalyse

Ursachenanalyse

• Fehlertyp: Out-of-Bounds Write (CWE-787), resultierend aus einem ungeprüften Rückgabewert (CWE-252).
• Anfällige Komponente: Upstream-Google-Brotli-Decoder-Modul, integriert in Node.js (deps/brotli).
• Mechanismus: Beim Dekomprimieren eines fehlerhaften Streams validiert der Decoder die Randbedingungen während der Stream-Zustandsübergänge nicht ordnungsgemäß. Dies führt zu einer Heap-Buffer-Korruption über den vorab zugewiesenen Speicherbereich hinaus.

Angriffsvektoren

1. Eingehende HTTP-Anfragen: Frameworks und Middleware (z. B. Express, Fastify), die für automatische Body-Dekomprimierung (Content-Encoding: br) konfiguriert sind.
2. Ausgehende / eingehende Fetch-API: Natives fetch(), das automatisierte Antworten von nicht vertrauenswürdigen Drittanbieter-Endpunkten verarbeitet, die komprimierte Inhalte bereitstellen.
3. Interne Stream-Pipelines: Benutzerdefinierte Node.js-Streams, die zlib.createBrotliDecompress() verwenden.

Auswirkungsbewertung

• Denial of Service (DoS): Zuverlässige Auslösung von Segmentation Faults (SIGSEGV), die Worker-Prozesse sofort zum Absturz bringen.
• Offenlegung von Informationen: Unkontrollierte Heap-Lesevorgänge, die sensible Tokens oder im Prozessspeicher zwischengespeicherte Umgebungsvariablen preisgeben.
• Remote Code Execution (RCE): Nachgewiesene Heap-Speicherkorruption, die zur vollständigen Kontrolle über den Ausführungsfluss des Prozesses auf standardmäßigen, unveränderten Container-Deployments führt.

---

📊 Betroffene & behobene Versionen

Node.js-Release-Linie	Status	Behobene Version	Erforderliche Maßnahme
Node.js 26.x	⚠️ Anfällig	>= 26.12.1	Sofort aktualisieren
Node.js 24.x	⚠️ Anfällig	>= 24.22.1	Sofort aktualisieren
Node.js 22.x (LTS)	⚠️ Anfällig	>= 22.23.4	Sofort aktualisieren
Node.js 20.x & älter	❌ EOL	Keine	Sofort auf unterstütztes LTS migrieren

🚨 EOL-Warnung: Node.js 20 hat im April 2026 das End-of-Life (EOL) erreicht. Offizielle Sicherheits-Backports sind für EOL-Versionen nicht verfügbar.

---

Safe-Check-Skript

Genau das sollten Sie sehen, wenn der Safe-Checker korrekt funktioniert.

1. Gepatchtes / behobenes Node.js (gutes Ergebnis)

$ node node2shell-check.js

=== Node2Shell (CVE-2026-111497) Safe Checker ===
Local version + constant probe only. No network, no payloads.

Current Node.js version : v24.22.1
Brotli constant present : yes (-17) → patched decoder

───────────────────────────────────────────────────────
Verdict: PATCHED
You are running a fixed release of the 24.x line.

Additional notes:
• The constant check is the most reliable signal when Node.js ships
  its own (statically linked) Brotli. On some Linux distros Node may
  use the system libbrotli – then you must also check the system package.
• Updating npm packages alone does NOT fix this issue.
• After upgrading, restart every Node.js process / container.
• Official fixed versions: 22.23.4 · 24.22.1 · 26.12.1

2. Verwundbare Node.js (schlechtes Ergebnis)

$ node node2shell-check.js

=== Node2Shell (CVE-2026-111497) Safe Checker ===
Local version + constant probe only. No network, no payloads.

Current Node.js version : v24.22.0
Brotli constant present : no / missing → likely vulnerable decoder

───────────────────────────────────────────────────────
Verdict: VULNERABLE
Upgrade to Node.js 24.22.1 or later in the 24.x line.

Additional notes:
• The constant check is the most reliable signal when Node.js ships
  its own (statically linked) Brotli. On some Linux distros Node may
  use the system libbrotli – then you must also check the system package.
• Updating npm packages alone does NOT fix this issue.
• After upgrading, restart every Node.js process / container.
• Official fixed versions: 22.23.4 · 24.22.1 · 26.12.1

3. End-of-Life-Version (ebenfalls anfällig)

Current Node.js version : v20.18.0
Brotli constant present : no / missing → likely vulnerable decoder

Verdict: VULNERABLE (EOL / UNSUPPORTED)
This release line is end-of-life or never received the security fix.
Migrate to a supported LTS line (22.x, 24.x or 26.x) and use a patched version.

Schnellweg, um die Konstante selbst zu bestätigen

Sie können auch diesen Einzeiler ausführen:

node -p "require('zlib').constants.BROTLI_DECODER_ERROR_FORMAT_BLOCK_SWITCH ?? 'missing'"

• Gibt -17 zurück → gepatcht
• Gibt missing zurück → anfällig

Das ist dieselbe Prüfung, die das Skript verwendet.

---

Laboreinrichtung

# Python dependencies
pip install requests brotli

# Node server (webhook injection + eval paths)
npm install
node server-stock.js       # port 3000

Verwendung

# Real CVE trigger — hang a Node.js HTTP server (Content-Encoding: br)
python3 Node2Shell.py -u http://TARGET:3000 --hang --path /api/data --timeout 10