HTTP2Shell: Schwachstelle in Googles Brotli wird aktiv angegriffen

Die US-Cybersicherheitsbehörde CISA warnt vor der aktiv ausgenutzten Sicherheitslücke HTTP2Shell in der Kompressionsbibliothek Brotli. Auch Sicherheitsforscher haben erste Angriffsversuche registriert.

Entwickler sind aktiv

Die Schwachstelle kann unter bestimmten Bedingungen die Ausführung beliebigen Codes ermöglichen und betrifft unter anderem Node.js sowie die Virtualisierungsplattformen VMware Cloud Foundation und vSphere Foundation. Für mehrere betroffene Produkte stehen bereits Sicherheitsupdates bereit, bei VMware fehlen diese bislang.

Die als CVE-2026-111497 geführte Lücke ist auch unter den Namen HTTP2Shell und Broccoli2Shell bekannt. Sie steckt im Decoder von Brotli, einer von Google entwickelten Bibliothek zur Datenkompression. Betroffen sind die Versionen 1.0.3 bis einschließlich 1.2.0. Speziell präparierte komprimierte Daten können einen Schreibzugriff außerhalb des vorgesehenen Speicherbereichs auslösen. Dadurch lassen sich Anwendungen zum Absturz bringen, Speicherinhalte offenlegen und möglicherweise eigene Befehle ausführen.


Die Schwachstelle wurde von Forschern des KI-Unternehmens OpenAI gemeldet. Am 21. Oktober veröffentlichten Node.js und Google entsprechende Korrekturen. Auch Microsoft, die Entwickler zweier Python-Pakete sowie die Projekte Bun, Envoy und Istio haben reagiert. Palo Alto Networks verteilt zudem Fehlerkorrekturen für sein Betriebssystem PAN-OS.

CISA nahm die Schwachstelle am 27. Oktober in seinen Katalog bekanntermaßen ausgenutzter Sicherheitslücken (Known Exploited Vulnerabilities, KEV) auf. Einzelheiten zu den beobachteten Angriffen nannte die Behörde nicht. Das Sicherheitsunternehmen Previdian registrierte aber am 27. Oktober einen Angriffsversuch von einer US-amerikanischen IP-Adresse. Die Forscher stufen die Ausnutzung als bestätigt ein. Das bedeutet allerdings nicht, dass der Angriff erfolgreich war.

VMware noch ohne Lösung

Auch das Sicherheitslabor ELLIO meldete verdächtige Aktivitäten. Bereits am 26. Oktober fing dessen Sensorsystem eine bösartige Anfrage ab, die auf Node.js zielte. Die verwendete Angriffsmethode ähnelte öffentlich verfügbaren Nachweisen für die Ausnutzbarkeit der Lücke. Allerdings scheiterte der abschließende Teil des Angriffs in 50 Tests. ELLIO vermutet deshalb, dass ein Angreifer ein noch nicht ausreichend erprobtes Werkzeug eingesetzt hat.

Die Forscher konnten selbst auf vier unterschiedlichen Konfigurationen mit offiziellen Node.js-Versionen eine Codeausführung erreichen. Fehlgeschlagene Angriffe sind ebenfalls problematisch: Sie können den betroffenen Prozess zum Absturz bringen und damit für Denial-of-Service-Attacken genutzt werden.

Besonders kritisch ist die Situation bei VMware. Der Mutterkonzern Broadcom bestätigte am 27. Oktober, dass der SDDC Manager in VMware Cloud Foundation und vSphere Foundation aufgrund der enthaltenen Node.js-Komponenten betroffen ist. Patches gibt es bisher allerdings nicht, und auch ein Termin für deren Veröffentlichung steht noch nicht fest.

Siehe auch: