Node.js에 내장된 Brotli C 디코더 라이브러리에서 발견된 치명적 취약점 'HTTP2Shell'(CVE-2026-111497)은 공격자가 메모리를 손상시키고 민감한 데이터에 접근할 수 있게 한다. 이 취약점은 'Broccoli2Shell', 'Node2Shell' 등 여러 이름으로 불리며, Brotli 1.0.3~1.0.9, 1.1.0, 1.2.0 버전에 영향을 미친다. 최초 Node.js에서 발견되었으나, 이후 연구를 통해 Python HTTP 클라이언트(urllib3[brotli], requests, httpx, aiohttp[speedups]) 등 다양한 생태계의 소프트웨어에도 영향을 줄 수 있음이 확인되었다.
이 취약점은 공격자가 조작한 Brotli 압축 데이터를 디코딩할 때 버퍼 오버플로우가 발생하는 구조적 문제로, 악의적으로 조작된 HTTP 응답이나 요청을 통해 원격 코드 실행(RCE) 및 메모리 노출, 프로세스 크래시 등이 가능하다. Microsoft는 .NET의 취약 버전에 대해 긴급 보안 업데이트를 배포했으며, Google과 Node.js도 10월 21일에 패치 버전을 공개했다. Python용 패치도 PyPI를 통해 제공되고 있다.
PoC(개념증명) 익스플로잇이 공개되었으나, 실제 악용 사례는 아직 보고되지 않았다. 사용자는 즉시 보안 업데이트를 적용하고, 업데이트 후에는 관련 프로세스 재시작 및 컨테이너 이미지 재배포가 필요하다. 시스템 Brotli 라이브러리만 업데이트하는 것으로는 Node.js 등 자체 번들 라이브러리를 사용하는 앱의 위험이 해소되지 않으므로 주의가 필요하다. 즉시 업데이트가 어렵다면, Python 앱에서 Brotli 지원을 제거하거나 프록시·방화벽에서 Brotli 압축 요청을 차단하는 것이 권고된다.
요약
- Node.js 내장 Brotli 디코더에서 치명적 취약점 'HTTP2Shell'이 발견되었다.
- 해당 취약점은 다양한 언어 및 소프트웨어 생태계에 영향을 미친다.
- 공격자는 악의적 데이터로 메모리 손상, RCE, 데이터 노출을 유발할 수 있다.
- Google, Node.js, Microsoft 등에서 긴급 보안 패치가 배포되었다.
- 즉시 업데이트 및 추가적인 보안 조치가 강력히 권고된다.
Reference
※ 이 글은 생성형 AI(gpt4.1)에 의해 요약되었습니다.