奔跑的蜗牛 发表于 4 天前

旧版本 nodejs 如何修复 HTTP2Shell 漏洞 (CVE-2026-111497)

2026 年 10 月 26 ，nodejs 官方发布了新的漏洞更新版本 （ https://nodejs.org/en/blog/vulnerability/october-2026-security-releases ，里面最严重的应该算这个 Node.js Brotli decoder out-of-bounds write permits remote code execution (CVE-2026-111497) - (high)。官方解决方案是升级到 nodejs v24.22 ，如果生产环境版本低于 22 比如是 18.18 ，而且近期也不能直接升级到最新版本的话，你们有啥解决方案吗？直接网关上拒绝压缩请求，比如 istio 上加 rule 是否可以？以下是 rule 的 example：
apiVersion: security.istio.io/v1kind: AuthorizationPolicymetadata:name: deny-brotli-requestnamespace: istio-systemspec:selector:    matchLabels:      app: istio-ingressgatewayaction: DENYrules:    - when:      - key: request.headers          values:            - "br"

⚠️内容来自互联网，如有侵权请点击反馈！侵权投诉

SYS宇晖 发表于 4 天前

拦的方向对，但要注意这洞是解压请求体触发的??。
[这只是一个小尾巴]

呉乐天🏸 发表于 4 天前

这个是开源的吧，应该要等第三方修复了。我这边用的别人服务器，php 的漏洞都还没修……赶紧迁移新版吧，另外好像买 linux 的付费服务，也会提供补丁。

joker 发表于 4 天前

这个不是修复了吗？ https://nodejs.org/en/blog/vulnerability/october-2026-security-releases

江户川柯南 发表于 4 天前

@yeyeye istio 是开源，但是配置文件我可以加上防止 brotli 解包的操作。

卷王 发表于 4 天前

@xianyutian 官方用新版本 v24.22 修复，但是我这生产上是 18.18 ，不能直接升级，所以在看短期方案

joker 发表于 4 天前

吓我一跳 明明是 21 号发的 26 号是今天 还以为刚更新完又出事了

🐛冬瓜 发表于 4 天前

@craftsmanship 我的错，没反应过来改日期
页: [1]
查看完整版本: 旧版本 nodejs 如何修复 HTTP2Shell 漏洞 (CVE-2026-111497)