Une faille critique identifiée dans la bibliothèque Brotli de Node.js

Picus Security a révélé des détails sur une vulnérabilité critique, nommée Node2Shell (CVE-2026-111497), affectant l'environnement d'exécution Node.js. Avec un score CVSS de 9,2, cette faille se situe dans la bibliothèque de décompression Brotli intégrée à Node.js et peut être exploitée pour exécuter des commandes à distance, provoquer des dénis de service ou accéder à des données sensibles.

La faille provient d'une erreur de traitement au sein du décodeur Brotli. Lorsqu'il reçoit un flux de données spécifiquement conçu, le décodeur ignore les erreurs de format et continue le traitement à partir d'un état corrompu, entraînant une écriture hors limites de la mémoire. Cette capacité à écraser la mémoire permet à un attaquant de prendre le contrôle d'applications traitant des données non fiables.

Des correctifs sont disponibles pour les versions 22.23.4, 24.22.1 et 26.12.1 de Node.js. Les versions 20.x et 25.x étant en fin de support, elles ne recevront aucune mise à jour, exposant leurs utilisateurs. L'environnement Bun est également affecté jusqu'à la version 1.4.3. Picus Security précise que certaines distributions Linux utilisant des bibliothèques Brotli système devront également être mises à jour au niveau de l'OS.

Pour aider les équipes de sécurité, Picus Security a intégré des simulations d'attaques à sa bibliothèque de menaces. Il est recommandé aux entreprises d'identifier les instances vulnérables et de procéder aux mises à jour nécessaires pour limiter les risques de vol d'identifiants cloud et d'injection de logiciels malveillants.