Node2Shell : un corps compressé en Brotli suffit à corrompre la mémoire de Node.js

D’où vient la faille Node2Shell ?

Le décodeur Brotli traite un changement de bloc invalide comme un simple manque de données, au lieu d’une erreur de format. En mode flux, il continue alors d’ajouter des octets dans un tampon interne de huit octets, et finit par écrire au-delà. La mémoire du processus Node.js est corrompue.

La faille est dans Brotli lui-même, pas dans le code de Node.js. Tout logiciel qui embarque le même décodeur est concerné : Bun, les paquets Python `Brotli` et `brotlicffi`, .NET, Envoy et Istio, brotli4j, ainsi que des paquets de distributions Linux.

Mon API Node.js est-elle exposée ?

Si elle tourne sur Express 5 ou body-parser 2, très probablement : ces versions décompressent par défaut les corps de requête envoyés avec `Content-Encoding: br`. N’importe quel client peut donc envoyer une donnée Brotli forgée à votre API.

Sont aussi exposés le code qui passe des données non fiables à `zlib.brotliDecompress()` ou `zlib.createBrotliDecompress()`, et le `fetch()` intégré, qui décompresse automatiquement les réponses Brotli : un serveur malveillant ou compromis que votre application interroge peut alors l’attaquer. En revanche, un serveur HTTP Node.js nu ne décode pas seul les corps compressés.

La faille est-elle exploitée ?

Au 26 octobre 2026, Rapid7 n’a connaissance d’aucune exploitation dans la nature, et la faille ne figure pas au catalogue des failles exploitées de la CISA. Mais des chercheurs d’Imperva ont démontré une exécution de code sur l’image Linux arm64 officielle de Node.js 24.22.0, même si leur exploit ne réussit pas à chaque tentative.

Node.js classe la faille en sévérité élevée ; Google, qui gère Brotli, la note 9.2 en CVSS v4. Avec une preuve de concept publique, la fenêtre avant les premières attaques réelles se compte en jours.

Que faire dès aujourd’hui ?

Passer à Node.js 22.23.4, 24.22.1 ou 26.12.1, puis redémarrer les processus et reconstruire les images de conteneur : un processus déjà lancé garde l’ancien décodeur jusqu’à son arrêt. Les branches en fin de vie (25.x, 23.x, 20.x et antérieures) ne recevront pas de correctif.

Si votre API n’a pas besoin de recevoir des corps compressés, désactivez-les : avec body-parser, l’option `inflate: false` fait refuser ces requêtes avec un code 415.

Vérifiez aussi vos autres composants qui embarquent Brotli (proxy Envoy, services Python ou .NET) : la mise à jour de Node.js ne les corrige pas.