Запись за границы буфера в декодере Brotli, встроенном в Node.js, позволяет удалённо выполнить произвольный код на сервере Stormshield Management Center. Проблема получила имя Node2Shell. Входная точка - веб-портал администрирования SMC, при этом ни учётные данные, ни действия пользователя не нужны. Уязвимы версии Stormshield Management Center младше 3.9.4.
CVE-2026-111497 и статус эксплуатации
Оценка по CVSS 4.0 - 9.2 из 10, критический уровень. Атака идёт по сети, сложность низкая, привилегии не требуются, участие пользователя не нужно. При этом запись отмечает наличие требований к атаке - условий, которые злоумышленник не контролирует. Такой набор характеристик делает ошибку пригодной для массовых попыток эксплуатации.
CVE-2026-111497 числится в каталоге CISA KEV - перечне уязвимостей с зафиксированной эксплуатацией в реальных атаках. Служба CISA относит эксплуатацию к активной, а техническое влияние оценивает как полное. Автоматизировать атаку, по той же оценке, нельзя. Публичное раскрытие деталей состоялось 27 февраля 2026 года, запись CVE опубликовали 22 октября 2026 года.
Идентификатор назначила Google. Ошибку нашли исследователи OpenAI Codex Security - Khai Tran и Sylvie Mayer. Бюллетень Stormshield вышел 30 октября 2026 года, дата обнаружения в нём - 23 октября 2026 года.
Ошибка кроется в декодере Brotli - библиотеке, которая распаковывает сжатые данные. Она входит в состав Node.js, а тот применяется в SMC. При разборе специально собранного сжатого потока декодер записывает данные за пределами выделенного буфера, и повреждается соседнее состояние декодера. Запись CVE перечисляет последствия: раскрытие содержимого памяти, отказ в обслуживании и потенциальное выполнение произвольного кода.
Кроме записи за границы буфера, запись CVE называет вторую слабость - непроверенное возвращаемое значение. Обе классификации описывают одну и ту же ошибку. Дефект затрагивает все платформы, поэтому выбор операционной системы на сервере SMC ничего не меняет.
Уязвимы версии библиотеки с 1.0.3 по 1.2.0, исправления вышли в 1.0.10, 1.1.1 и 1.2.1. Stormshield ставит проблеме уровень high, то есть ниже критического, который присвоил CNA. Расхождение объяснимо: вендор оценивает риск для конкретного продукта, а Google - для самой библиотеки.
Бюллетень STORM-2026-034 вышел в первой редакции, поэтому состав затронутых продуктов и версий ещё будет уточняться. В списке только Stormshield Management Center: других продуктов вендор не называет.
Уязвимы версии SMC младше 3.9.4, исправление доступно в 3.9.4. Отдельной строки с номером патча в бюллетене нет: вендор отсылает за исправлениями к тексту уведомления. Обходных мер запись CVE не приводит, временных схем защиты вендор тоже не описывает.
Пока бюллетень остаётся в первой редакции, перечень уязвимых сборок может измениться. Активная эксплуатация в каталоге CISA KEV означает, что проверку версий SMC разумно провести раньше планового обслуживания.
Ссылки
