Une vulnérabilité récemment identifiée d'exécution de code à distance, suivie sous le nom de http2shell, affecte Node.js, Python et divers autres environnements. La faille réside dans la logique de traitement de HTTP/2 et permet aux attaquants d'exécuter du code arbitraire sur les systèmes concernés. Les chercheurs en sécurité ont découvert le problème via une divulgation responsable, soulignant son ampleur dans les environnements d'exécution populaires.
La conception de la vulnérabilité exploite les fonctions de multiplexage du protocole HTTP/2 pour contourner les contrôles de sécurité classiques. Les correctifs et les stratégies d'atténuation sont actuellement en développement par les mainteneurs des logiciels concernés. Les utilisateurs sont invités à mettre à jour leurs systèmes et à revoir leurs configurations pour réduire l'exposition aux exploitations potentielles.
Source: Hacker News · Résumé par HeadlinesBriefing