Ataka jau vyksta: pavojinga „Node2Shell“ spraga leidžia perimti serverius – JAV skelbia skubų įspėjimą

Sekite TechNaujienos Google

JAV kibernetinio saugumo agentūra CISA patvirtino, kad užpuolikai jau praktiškai išnaudoja kritinį „Brotli“ duomenų išskleidimo pažeidžiamumą. „Node2Shell“, dar vadinama „HTTP2Shell“, gali sukelti serverių veiklos sutrikimus, atverti jautrią atminties informaciją, o tam tikromis sąlygomis leisti vykdyti kodą nuotoliniu būdu. Tai nebe laboratorinis tyrimas: atakos realios, todėl interneto paslaugų administratoriams delsti pavojinga.

Spalio 27–28 d. paskelbtame pranešime pateikiamos pagrindinės incidento detalės. Spalio 28 d. apie situaciją paskelbė „BleepingComputer“, remdamasi CISA aktyviai išnaudojamų pažeidžiamumų katalogu. Spragai suteiktas CVE-2026-111497 numeris. Ji susijusi su netinkamu specialiai suformuoto suspaustų duomenų srauto apdorojimu. Spraga pirmiausia išryškėjo „Node.js“ aplinkoje, tačiau potencialiai paliečia ir kitus klientus bei serverius, naudojančius pažeidžiamą „Brotli“ bibliotekos realizaciją.

„Brotli“ yra plačiai naudojamas turinio glaudinimo algoritmas, padedantis svetainėms mažiau duomenų perduoti internetu. Todėl rizika nesibaigia viena programavimo kalba ar vienos įmonės produktais. Tikrasis pažeidžiamumas priklauso nuo to, kokia konkreti biblioteka ir versija naudojama, ar priimami suspausti užklausų duomenys ir kokias teises turi paveiktas procesas. Tai būtina patikrinti, o ne spėti vien pagal programinės įrangos pavadinimą.

Viena svarbiausių praktinių problemų – didelė atvirojo kodo priklausomybių grandinė. Interneto aplikacija gali naudoti suspaudimo biblioteką net tada, kai jos kūrėjas tiesiogiai neįtraukė „Brotli“ į savo programos kodą. Tai gali būti įrankių rinkinio, tarpinio serverio, įskiepio arba kitos bibliotekos priklausomybė. Todėl saugumo patikrinimas neturėtų apsiriboti vien pagrindinių programų versijų palyginimu. Reikalingas visos programinės įrangos komponentų sąrašas, įskaitant tas bibliotekas, kurios į paketą patenka netiesiogiai. Tik tada galima atsakyti, ar konkrečioje sistemoje yra pažeidžiama funkcija.

Naujausi straipsniai

4 min. skaitymo • prieš 8 minutės

Per vieną bendrą skriptą įsilaužėliai taikėsi į mokėjimo korteles: rizika interneto parduotuvėms

5 min. skaitymo • prieš 28 minutės

Energetikos milžinė „ENGIE“ patvirtino klientų duomenų vagystę – užpuolikai įsilaužė per partnerių platformą

4 min. skaitymo • prieš 48 minutės

Įsilaužta į DI programuotojų įrankio „Warp“ tiekėją: galėjo nutekėti agentų veiksmų istorija

Visi naujausi straipsniai →

Paprastam svetainės lankytojui svarbu ne pats CVE numeris, o paslaugos patikimumas. Jei ataka sukeltų serverio strigimą, vartotojai gali pastebėti neprieinamas paskyras, nepavykstančius užsakymus ar laikinai neveikiančius mokėjimo puslapius. Jei pažeidžiamumas būtų išnaudotas jautriai atminčiai perskaityti, incidento tyrimas galėtų būti sudėtingesnis, nes reikėtų aiškintis, kokia informacija tuo metu buvo laikoma proceso atmintyje. Tačiau kiekvienos atakos pasekmės priklauso nuo konkretaus diegimo, todėl jų negalima vienodai priskirti visoms svetainėms.

IT padaliniams naudinga atskirti neatidėliotinus veiksmus nuo ilgalaikių gerinimų. Pirmiausia nustatoma ekspozicija, įdiegiama pataisa ar laikina apsauga ir patikrinama, ar sistema veikia. Vėliau verta įvertinti, kodėl kritinė priklausomybė nebuvo pastebėta anksčiau, ar registruojami bandymai siųsti neįprastas suspaustas užklausas ir ar atsarginės aplinkos atnaujinamos vienodu tempu. Jei paslauga apdoroja klientų mokėjimus ar asmens duomenis, incidento komanda turi iš anksto sutarti, kada reikia pradėti duomenų pažeidimo vertinimą ir informavimo procedūras.

Kaip atsiranda grėsmė ir ką ji reiškia

JAV federalinėms agentūroms CISA nurodė sutvarkyti pažeidžiamas sistemas iki lapkričio 10 dienos. Šis terminas tiesiogiai netaikomas Lietuvos bendrovėms, bet aiškiai parodo grėsmės rimtumą. Jei organizacija naudoja paslaugų tiekėjo valdomą infrastruktūrą, ji turėtų pasitikrinti, ar tiekėjas paskelbė pataisų taikymo informaciją. Jei serverius valdo pati, atsakomybė už bibliotekų inventorizaciją ir diegimą tenka vidinei IT komandai.

Ne kiekvienas suspausto srauto apdorojimas leidžia perimti serverį. Kai kuriais atvejais padarinys gali būti tik proceso nulūžimas, kitur – atminties duomenų atskleidimas. Dėl to klaidinga visiems vartotojams skelbti, kad jų slaptažodžiai jau pavogti. Kol kas viešai patvirtinta pati aktyvi eksploatacija, o ne konkretus kiekvienos Lietuvos įmonės kompromitavimas.

Dar vienas svarbus aspektas – pažeidžiamumo ištaisymas turi būti patikrintas ne vien programinės įrangos versijų sąraše. Kai organizacija naudoja konteinerius ar automatinį diegimą, senas komponentas gali likti atsarginiame atvaizde arba pasikartoti kitame serveryje. Todėl saugumo komanda turi patikrinti visą diegimo procesą, o ne tik vieną veikiantį serverį. Didesnėms įmonėms verta įtraukti saugumo peržiūrą ir į programinės įrangos tiekėjų sutartis, kad iškilus kritinei spragai būtų galima greitai gauti aiškų atsakymą apie paveiktas versijas, atnaujinimo terminą ir laikiną apsaugos priemonę. Tai ypač svarbu internetinėms parduotuvėms, naujienų portalams bei kitoms paslaugoms, kurių veikla priklauso nuo nepertraukiamo ryšio su lankytojais.

Ką turi žinoti Lietuvos naudotojai ir įmonės

Administratoriams rekomenduojama patikrinti oficialias saugumo rekomendacijas, atnaujinti paveiktas priklausomybes, iš naujo sukurti konteinerių atvaizdus ir perkrauti tarnybas. Jei pataisos negalima įdiegti nedelsiant, laikina priemonė – riboti iš išorės gaunamų „Brotli“ suspaustų užklausų apdorojimą. Tokį pakeitimą būtina testuoti, nes jis gali paveikti klientų užklausas ir paslaugų suderinamumą.

Šis incidentas primena neseniai aptartas PHP spragas: kritinė problema bibliotekoje gali paliesti tūkstančius interneto projektų, net jei jų savininkai niekada tiesiogiai su ja nedirbo. Verslams svarbiausias klausimas dabar ne išmokti naują techninį terminą, o gauti iš savo prieglobos paslaugų tiekėjo aiškų atsakymą, ar jų infrastruktūra patikrinta ir pataisyta. Plačiau apie susijusias technologijų saugumo problemas rašėme ankstesniame „TechNaujienos.lt“ straipsnyje.