Security · 23.10.2026
Sicherheitsforscher haben mit „Node2Shell“ gezeigt, wie sich manipulierte Brotli-Komprimierungsdaten zur Remotecodeausführung in offiziellen Node.js-Builds ausnutzen lassen.
Sicherheitsforschern des IT-Sicherheitsunternehmens Imperva ist es gelungen, eine kritische Sicherheitslücke in offiziellen Builds der JavaScript-Laufzeitumgebung Node.js nachzuweisen. Durch die Verwendung speziell manipulierter Brotli-Komprimierungsdaten kann Schadcode auf dem Zielsystem eingeschleust und ausgeführt werden. Das als „Node2Shell“ bezeichnete Proof-of-Concept demonstriert diese Remotecodeausführung (RCE) am Beispiel eines offiziellen Node.js-Docker-Images (Version 24.22.0) für Linux arm64, ohne dass dafür ein aktiver Debugger oder kundenspezifische Anpassungen notwendig waren.
Node.js bildet in zahlreichen DACH-Unternehmen das technologische Fundament für geschäftskritische Webanwendungen, APIs und Microservices. Die Brotli-Komprimierung ist ein etablierter Standard zur Reduzierung von Datenmengen im Webverkehr und wird von modernen Servern routinemäßig verarbeitet. Da der Exploit direkt über präparierte Kompressionsdaten greift, sind potenziell alle Anwendungen gefährdet, die unbereinigte externe Datenströme verarbeiten. Ein erfolgreicher Angriff hebelt die Anwendungssicherheit aus und ermöglicht es Cyberkriminellen, tiefer in die Unternehmensinfrastruktur einzudringen, Daten zu exfiltrieren oder Ransomware zu platzieren.
IT-Verantwortliche und DevOps-Spezialisten sollten unverzüglich ihre Software-Pipelines und aktiven Node.js-Instanzen inventarisieren. Es ist zwingend erforderlich, die Versionsstände zu prüfen und die vom Node.js-Projekt bereitgestellten Sicherheitsupdates umgehend einzuspielen, sobald diese verfügbar sind. Ergänzend sollten Web-Application-Firewalls (WAF) so konfiguriert werden, dass sie anomale oder potenziell bösartige Brotli-Payloads blockieren. Um das Schadensausmaß im Falle einer Kompromittierung zu begrenzen, müssen Node.js-Prozesse zwingend mit minimalen Systemrechten (Non-Root) und in isolierten Container-Umgebungen ausgeführt werden.
Der „Node2Shell“-Sicherheitsnachweis verdeutlicht einmal mehr, dass auch tief in Software-Stacks integrierte Standardbibliotheken wie Brotli unerkannte Risiken bergen. Kontinuierliches Patch-Management und eine restriktive Rechtevergabe auf Betriebssystemebene bleiben die wirksamsten Verteidigungslinien für Administratoren im Unternehmenseinsatz.
Quelle: The Hacker News