CVE-2026-111497 ("http2shell") (Remote Code Execution/RCE) [Update #1]

Wie finde ich denn raus, ob Brotli nicht nur auf dem Frühstückstisch sondern auch auf einem meiner Debian Server irgendwo als Abhängigkeit mitinstalliert wurde?

dpkg-query -W -f='$(Version)\n' brotli

wie es mir die KI vorschlägt, bringt

Kein Paket gefunden

Darf ich mich diesbezüglich bereits in Sicherheit wiegen?

Zitat von Win98SE4ever

Wie finde ich denn raus

Bei mir wurde es gerade bei nem erneuten update erneuert.

Auf 3 von 5 Servern, wo ich nichtmal davon wusste.

Brotli war mir bisher unbekannt und auch auf keinem Serverlein zu finden.

Aber es ist ein schönes Beispiel, warum man nur stable oder maximal noch oldstable auf Debian-Systemen haben sollte.
Sind zumindest die, bei denen als Erstes die Updates kommen.

Zitat von Win98SE4ever

dpkg-query -W -f='$(Version)\n' brotli

wie es mir die KI vorschlägt, bringt

Kein Paket gefunden

Darf ich mich diesbezüglich bereits in Sicherheit wiegen?

Leider nein, brotli wird wohl oft statisch eingebunden.

Ich hatte extra nachgeschaut, da es bei mir wegen uptime kuma wohl gerade gefährlich ist, da nach extern als Dienst im Internet. In meinem Fall (kein Docker) braucht's wohl ein update des nodejs deb Paketes und unter Ubuntu gibt's da leider noch nichts. Ob das Docker image wohl schneller geupdated wird?

Uptime kuma läuft zwar hinter einem Reverse proxy, so dass ich mir nicht 100% sicher bin, ob verwundbar, die KI meint aber schon, brotli Komprimierung würde wohl vom Apachen in dem Fall nur durchgereicht. Also gar nicht gut.

Auch in Python wohl statisch eingebunden, falls jemand einen Python Webdienst betreibt.

Ough immer am Wochenende...

Naja so hat man als Privatperson immerhin Zeit sich darum zu kümmern...

Zitat von m_ueberall

Dann warte ich meinetwegen bis morgen mit Details für den brandneuen udp2shell-CVE …

Solange nicht ethernet2shell rauskommt und man plötzlich alle Kabel auf ne neue Version "upgraden" muss, ist es ja noch irgendwie machbar ...

Zitat von SiebenG

Also gar nicht gut.

Hier als kleiner Tipp, wer Python server oder uptime kuma hinter einem reverse proxy betreibt -- als hotfix bis auch nodejs/Python ein Update bekommt:

Apache:

    # 1. Strip Accept-Encoding so Node.js never responds or compresses with Brotli
    RequestHeader unset Accept-Encoding

    # 2. Block clients trying to upload malicious Brotli-compressed payloads
    RewriteEngine On
    RewriteCond %{HTTP:Content-Encoding} "br" [NC]
    RewriteRule .* - [F,L]

Nginx:

# Clear Accept-Encoding so Kuma doesn't communicate with clients via Brotli
        proxy_set_header Accept-Encoding "";
        
        # Block clients explicitly sending Brotli compressed request bodies
        if ($http_content_encoding ~* "br") {
            return 415; # Unsupported Media Type
        }

Mit Hilfe von KI erstellt, für den Apache funktioniert es (allerdings auch erst im zweiten Anlauf), für nginx nicht getestet.

Zitat von SiebenG

Hier als kleiner Tipp, wer Python server oder uptime kuma hinter einem reverse proxy betreibt...

Funktioniert das auch, wenn man Uptime Kuma nicht hinter einem Rev Proxy betreibt, sondern im Docker Container über Port, wenn man es in die Apache-Config, der Hauptdomain auf dem Host einfügt?
EDIT: Was aber ja sowieso nutzlos wäre, denn man könnte Update Kuma ja dann einfach über die Server-IP aufrufen und den vhost damit umgehen.
Ist ja Quatsch, was ich da schreibe. Vergesst es.

Zitat von aRaphael

Funktioniert das auch, wenn man Uptime Kuma nicht hinter einem Rev Proxy betreibt, sondern im Docker Container über Port, wenn man es in die Apache-Config, der Hauptdomain auf dem Host einfügt?

Verstehe ich nicht ganz... Wie leitest denn von Deiner Hauptdomain auf den kuma port weiter (falls per proxy: dann ja)? Oder direkter Zugriff Hauptdomain:kumaport? Bei letzteren klappts dann nicht.

EDIT: Da ich Uptime Kuma im docker-Container laufen habe, reicht wohl jetzt schon einfach ein erneutes Pull, da die aktuellen Images von Uptime Kuma (nach dem 22.10) die gepatchten Version von node.js (>=v22.23.4) und brotli schon enthalten dürften. (Falls ich das richtig recherchiert habe)

Jo, hat geklappt:

> docker compose pull
> docker compose up -d
> docker exec -it uptime-kuma node -v
v22.23.4

Zitat von SiebenG

Ich hatte extra nachgeschaut, da es bei mir wegen uptime kuma wohl gerade gefährlich ist, da nach extern als Dienst im Internet. In meinem Fall (kein Docker) braucht's wohl ein update des nodejs deb Paketes und unter Ubuntu gibt's da leider noch nichts. Ob das Docker image wohl schneller geupdated wird?

Mit uptime-kuma 2.5.7 wurde am Freitag das docker image mit NodeJS 22.23.4 aktualisiert, welches den brotli fix hat. Das Changelog erwähnt zwar nur eMudhra, aber der Fix ist drin.

https://www.heise.de/news/Node-js-fixt-eigene-und-geerbte-Sicherheitsluecken-11495996.html

Edit: eRaphael's Antwort war vorher noch nicht da. Ich geb der Zeitumstellung Schuld.