Một lỗ hổng bảo mật nghiêm trọng trong Brotli, thư viện nén dữ liệu được sử dụng rộng rãi, có thể khiến ứng dụng gặp sự cố, làm lộ dữ liệu trong bộ nhớ, thậm chí cho phép tin tặc thực thi mã từ xa. Microsoft cùng các dự án liên quan đã phải phát hành bản cập nhật bảo mật khẩn cấp để khắc phục.
Lỗ hổng được định danh CVE-2026-111497, còn được gọi bằng các tên HTTP2Shell, Broccoli2Shell hoặc Node2Shell. Ban đầu, vấn đề được phát hiện trong Node.js, nhưng các phân tích sau đó cho thấy nguyên nhân nằm ở bộ giải mã Brotli viết bằng ngôn ngữ C. Do đó, phạm vi ảnh hưởng không chỉ giới hạn trong một nền tảng.
Brotli là công nghệ nén dữ liệu mã nguồn mở do Google phát triển, giúp giảm dung lượng tệp khi truyền qua mạng mà không làm thay đổi nội dung ban đầu. Công nghệ này được tích hợp trong nhiều phần mềm, thư viện và ứng dụng, đặc biệt là các hệ thống xử lý dữ liệu HTTP.
Theo phân tích kỹ thuật, lỗ hổng xuất phát từ lỗi tràn bộ đệm trong quá trình giải nén dữ liệu Brotli. Tin tặc có thể tạo một luồng dữ liệu nén đặc biệt, khiến bộ giải mã xử lý sai một cấu trúc dữ liệu không hợp lệ và tiếp tục ghi dữ liệu vượt quá giới hạn vùng nhớ được cấp phát.
Lỗ hổng được định danh CVE-2026-111497, còn được gọi bằng các tên HTTP2Shell, Broccoli2Shell hoặc Node2Shell. Ban đầu, vấn đề được phát hiện trong Node.js, nhưng các phân tích sau đó cho thấy nguyên nhân nằm ở bộ giải mã Brotli viết bằng ngôn ngữ C. Do đó, phạm vi ảnh hưởng không chỉ giới hạn trong một nền tảng.
Brotli là công nghệ nén dữ liệu mã nguồn mở do Google phát triển, giúp giảm dung lượng tệp khi truyền qua mạng mà không làm thay đổi nội dung ban đầu. Công nghệ này được tích hợp trong nhiều phần mềm, thư viện và ứng dụng, đặc biệt là các hệ thống xử lý dữ liệu HTTP.
Theo phân tích kỹ thuật, lỗ hổng xuất phát từ lỗi tràn bộ đệm trong quá trình giải nén dữ liệu Brotli. Tin tặc có thể tạo một luồng dữ liệu nén đặc biệt, khiến bộ giải mã xử lý sai một cấu trúc dữ liệu không hợp lệ và tiếp tục ghi dữ liệu vượt quá giới hạn vùng nhớ được cấp phát.
Nếu ứng dụng xử lý dữ liệu độc hại này, quá trình có thể bị treo hoặc sập, làm lộ thông tin trong bộ nhớ. Trong những điều kiện nhất định, kẻ tấn công còn có thể lợi dụng lỗi để thực thi mã từ xa trên hệ thống bị ảnh hưởng.
Đáng chú ý, tin tặc không nhất thiết phải tấn công trực tiếp máy chủ. Một ứng dụng có thể gặp rủi ro khi tải và giải nén phản hồi HTTP chứa dữ liệu Brotli độc hại từ một địa chỉ bên ngoài. Ngược lại, máy chủ cũng có thể bị nhắm tới thông qua các yêu cầu được gửi trực tiếp đến hệ thống.
Nhiều nền tảng có thể bị ảnh hưởng
Lỗ hổng tác động đến các phiên bản Brotli 1.0.3 đến 1.0.9, 1.1.0 và 1.2.0. Ngoài Node.js, các ứng dụng Python sử dụng những thư viện HTTP như urllib3, requests, httpx hoặc aiohttp cũng có thể gặp rủi ro nếu được cấu hình sử dụng bộ giải mã Brotli có lỗ hổng.
Microsoft đã phát hành bản cập nhật bảo mật khẩn cấp cho .NET, cảnh báo việc khai thác thành công có thể dẫn đến leo thang đặc quyền trên các hệ thống sử dụng phiên bản bị ảnh hưởng.
Các phiên bản đã được khắc phục gồm Brotli 1.0.10, 1.1.1 và 1.2.1; Node.js 22.23.4, 24.22.1 và 26.12.1; Python Brotli 1.2.1 và brotlicffi 1.2.1.0.
Theo BleepingComputer, mã khai thác thử nghiệm (PoC) của lỗ hổng đã được công bố công khai. Tuy nhiên, tại thời điểm bài viết được đăng ngày 26/10, chưa có báo cáo xác nhận lỗ hổng đang bị khai thác trong các cuộc tấn công thực tế.
Microsoft đã phát hành bản cập nhật bảo mật khẩn cấp cho .NET, cảnh báo việc khai thác thành công có thể dẫn đến leo thang đặc quyền trên các hệ thống sử dụng phiên bản bị ảnh hưởng.
Các phiên bản đã được khắc phục gồm Brotli 1.0.10, 1.1.1 và 1.2.1; Node.js 22.23.4, 24.22.1 và 26.12.1; Python Brotli 1.2.1 và brotlicffi 1.2.1.0.
Theo BleepingComputer, mã khai thác thử nghiệm (PoC) của lỗ hổng đã được công bố công khai. Tuy nhiên, tại thời điểm bài viết được đăng ngày 26/10, chưa có báo cáo xác nhận lỗ hổng đang bị khai thác trong các cuộc tấn công thực tế.
Quản trị viên cần làm gì?
Các tổ chức sử dụng Node.js, .NET, Python hoặc những ứng dụng có tích hợp Brotli cần rà soát phiên bản thư viện đang triển khai và ưu tiên cập nhật lên phiên bản đã được vá.
Sau khi cập nhật, quản trị viên cần khởi động lại các tiến trình bị ảnh hưởng. Với hệ thống triển khai bằng container, cần xây dựng lại và triển khai lại các image đã được cập nhật để bảo đảm phiên bản dễ bị tổn thương không còn được sử dụng.
Một điểm đáng lưu ý là cập nhật thư viện Brotli của hệ điều hành chưa chắc đã khắc phục hoàn toàn rủi ro. Một số ứng dụng có thể đóng gói riêng phiên bản Brotli bên trong, do đó vẫn cần kiểm tra từng thành phần phụ thuộc.
Trong trường hợp chưa thể cập nhật ngay, tổ chức có thể tạm thời vô hiệu hóa hỗ trợ Brotli trong các ứng dụng Python hoặc chặn yêu cầu nén Brotli đi vào tại proxy hay tường lửa. Tuy nhiên, đây chỉ là biện pháp giảm thiểu tạm thời, không thay thế việc cài đặt bản vá. Việc chỉ chặn các yêu cầu Brotli gửi đến máy chủ cũng chưa đủ, bởi ứng dụng vẫn có thể gặp rủi ro khi nhận phản hồi HTTP độc hại từ bên ngoài.
Sự cố cho thấy một thành phần tưởng như chỉ phục vụ việc giảm dung lượng dữ liệu truyền tải cũng có thể trở thành điểm xâm nhập nghiêm trọng nếu tồn tại lỗi trong quá trình xử lý. Với các hệ thống sử dụng nhiều thư viện mã nguồn mở, việc theo dõi lỗ hổng trong các thành phần phụ thuộc và cập nhật kịp thời là yêu cầu quan trọng để hạn chế nguy cơ bị tấn công.
Sau khi cập nhật, quản trị viên cần khởi động lại các tiến trình bị ảnh hưởng. Với hệ thống triển khai bằng container, cần xây dựng lại và triển khai lại các image đã được cập nhật để bảo đảm phiên bản dễ bị tổn thương không còn được sử dụng.
Một điểm đáng lưu ý là cập nhật thư viện Brotli của hệ điều hành chưa chắc đã khắc phục hoàn toàn rủi ro. Một số ứng dụng có thể đóng gói riêng phiên bản Brotli bên trong, do đó vẫn cần kiểm tra từng thành phần phụ thuộc.
Trong trường hợp chưa thể cập nhật ngay, tổ chức có thể tạm thời vô hiệu hóa hỗ trợ Brotli trong các ứng dụng Python hoặc chặn yêu cầu nén Brotli đi vào tại proxy hay tường lửa. Tuy nhiên, đây chỉ là biện pháp giảm thiểu tạm thời, không thay thế việc cài đặt bản vá. Việc chỉ chặn các yêu cầu Brotli gửi đến máy chủ cũng chưa đủ, bởi ứng dụng vẫn có thể gặp rủi ro khi nhận phản hồi HTTP độc hại từ bên ngoài.
Sự cố cho thấy một thành phần tưởng như chỉ phục vụ việc giảm dung lượng dữ liệu truyền tải cũng có thể trở thành điểm xâm nhập nghiêm trọng nếu tồn tại lỗi trong quá trình xử lý. Với các hệ thống sử dụng nhiều thư viện mã nguồn mở, việc theo dõi lỗ hổng trong các thành phần phụ thuộc và cập nhật kịp thời là yêu cầu quan trọng để hạn chế nguy cơ bị tấn công.
Sửa lần cuối:
