HTTP2Shell Ancam Keamanan Aplikasi

HTTP2Shell Ancam Keamanan Aplikasi – Kerentanan kritis pada pustaka dekode Brotli berpotensi membuka jalan bagi penyerang untuk merusak memori proses, mengungkap informasi sensitif, hingga menjalankan kode berbahaya dari jarak jauh.

Kerentanan yang terdaftar sebagai CVE-2026-111497 ini dikenal dengan beberapa nama, termasuk HTTP2Shell, Broccoli2Shell, dan Node2Shell.

Masalah ini awalnya mendapat perhatian melalui Node.js, tetapi cakupannya tidak terbatas pada platform tersebut. Akar kerentanan berada pada dekoder Brotli, komponen yang digunakan berbagai aplikasi untuk menguraikan data terkompresi.

Karena itu, perangkat lunak lain yang menyertakan versi rentan juga dapat terdampak, bergantung pada cara aplikasi memproses data dari sumber yang tidak tepercaya.

Mengenal Brotli dan Kerentanan HTTP2Shell

Brotli merupakan teknologi kompresi data tanpa kehilangan informasi (lossless compression) yang dikembangkan oleh Google. Teknologi ini membantu memperkecil ukuran data agar dapat dikirimkan melalui jaringan dengan lebih efisien, tanpa mengubah isi aslinya ketika data dikembalikan ke bentuk semula.

Brotli banyak digunakan dalam komunikasi web, termasuk untuk mengompresi respons HTTP. Namun, proses dekompresi dapat menjadi titik risiko apabila aplikasi menerima data yang sengaja dirancang untuk mengeksploitasi kelemahan dekoder.

Dalam CVE-2026-111497, masalahnya berkaitan dengan penanganan perintah pergantian blok (block switch) yang tidak valid. Alih-alih langsung memperlakukannya sebagai kesalahan format permanen, dekoder menganggap data yang diterima belum mencukupi dan meminta masukan tambahan.

Akibatnya, proses dekode dapat terus memasukkan data ke dalam buffer internal berukuran delapan byte hingga penulisan melewati batas yang semestinya.

Kondisi tersebut dikenal sebagai out-of-bounds write, yaitu penulisan data di luar area memori yang dialokasikan. Kerusakan ini dapat memengaruhi bagian memori lain dalam proses yang sedang berjalan.

Bergantung pada kondisi sistem dan keberhasilan eksploitasi, dampaknya dapat berupa aplikasi berhenti bekerja, kebocoran informasi dari memori, atau eksekusi kode jarak jauh (remote code execution/RCE).

Node.js mengonfirmasi bahwa kerentanan tersebut dapat menimbulkan dampak-dampak itu ketika aplikasi memproses data Brotli yang telah dimanipulasi penyerang.

Penilaian risiko tetap bergantung pada apakah aplikasi menggunakan dekoder yang rentan dan benar-benar memproses data yang dikendalikan pihak tidak tepercaya. Sumber: advisori keamanan Node.js.

Dampaknya Tidak Terbatas pada Node.js

Nama HTTP2Shell dapat memberi kesan bahwa kerentanan ini hanya berkaitan dengan HTTP/2. Padahal, persoalan utamanya berada pada proses dekode Brotli, bukan pada satu versi protokol HTTP tertentu. Aplikasi yang menguraikan data Brotli berbahaya dapat menghadapi risiko meskipun jalur masuk serangannya berbeda.

Selain Node.js, pustaka Brotli juga digunakan dalam ekosistem Python, termasuk melalui paket Brotli dan brotlicffi. Sejumlah klien HTTP, seperti urllib3, requests, httpx, dan aiohttp, dapat terpapar apabila konfigurasi serta dependensinya memungkinkan pemrosesan respons Brotli menggunakan dekoder yang rentan.

Risiko serupa juga ditemukan pada perangkat lunak lain yang menyertakan salinan Brotli sendiri. Artinya, memperbarui pustaka yang terpasang pada sistem operasi belum tentu menyelesaikan masalah apabila aplikasi menggunakan versi pustaka yang dibundel secara terpisah.

Penanganan terhadap data dari kedua arah juga perlu diperhatikan. Aplikasi klien dapat memproses respons terkompresi yang dikirimkan server berbahaya, sedangkan server dapat menghadapi risiko ketika menerima permintaan terkompresi yang telah dimanipulasi. Oleh karena itu, hanya memblokir permintaan Brotli yang masuk tidak otomatis menutup jalur serangan melalui respons dari server eksternal.

Microsoft juga menerbitkan pembaruan keamanan darurat untuk komponen .NET yang terdampak. Namun, keberadaan paket rentan saja tidak selalu berarti aplikasi dapat dieksploitasi. Paparan bergantung pada penggunaan komponen dekode tersebut untuk memproses data Brotli yang dikendalikan penyerang. Sumber: advisori keamanan .NET.

Baca juga: Penipuan Berbagi Layar WhatsApp

Pembaruan Keamanan Sudah Tersedia

Perbaikan telah dirilis untuk sejumlah versi Brotli, Node.js, dan paket Python. Administrator perlu memeriksa versi yang benar-benar digunakan oleh aplikasi, termasuk dependensi yang disertakan di dalam kontainer, paket aplikasi, atau berkas biner mandiri.

Versi perbaikan yang disebutkan dalam advisori meliputi:

Brotli: 1.0.10, 1.1.1, dan 1.2.1.
Node.js: 22.23.4, 24.22.1, dan 26.12.1.
Python Brotli: 1.2.1.
Python brotlicffi: 1.2.1.0.

Versi tersebut merujuk pada jalur rilis yang relevan dengan perbaikan CVE-2026-111497. Organisasi tetap perlu memeriksa advisori vendor untuk menentukan paket dan versi yang sesuai dengan lingkungan mereka. Sumber: rilis Brotli dan rilis keamanan Node.js.

Setelah pembaruan diterapkan, proses yang terdampak perlu dimulai ulang agar menggunakan komponen yang telah diperbaiki. Untuk lingkungan berbasis kontainer, citra yang memuat versi rentan perlu dibangun ulang dan diterapkan kembali.

Memperbarui sistem operasi tanpa memperbarui salinan pustaka yang dibundel di dalam aplikasi dapat meninggalkan celah yang sama.

Langkah Mitigasi bagi Organisasi

Organisasi sebaiknya memprioritaskan langkah-langkah berikut untuk mengurangi risiko eksploitasi:

Inventarisasi dependensi. Identifikasi aplikasi, layanan, pustaka, dan citra kontainer yang menggunakan Brotli, termasuk dependensi tidak langsung dan salinan yang dibundel.
Terapkan pembaruan resmi. Perbarui Node.js, paket Brotli, serta perangkat lunak terkait ke versi yang telah diperbaiki sesuai advisori masing-masing vendor.
Periksa jalur pemrosesan data. Pastikan tim pengembang mengetahui layanan yang menerima atau menguraikan data Brotli dari sumber eksternal, baik sebagai permintaan masuk maupun respons dari server lain.
Gunakan mitigasi sementara jika pembaruan tertunda. Jika aplikasi Python belum dapat diperbarui, pertimbangkan menonaktifkan dukungan Brotli pada aplikasi tersebut. Pada server atau proksi, pembatasan permintaan Brotli masuk dapat membantu mengurangi sebagian risiko, tetapi tidak melindungi jalur serangan melalui respons Brotli yang berbahaya.
Bangun ulang dan uji layanan. Setelah memperbarui dependensi, mulai ulang proses yang terdampak, bangun ulang citra kontainer, lalu uji fungsi aplikasi untuk memastikan layanan tetap berjalan normal.
Pantau anomali dan siapkan respons insiden. Periksa log aplikasi, penghentian proses yang tidak biasa, serta indikasi kerusakan atau eksploitasi. Jika ditemukan tanda kompromi, lakukan investigasi sesuai prosedur respons insiden organisasi.

Keberadaan kode proof of concept (PoC) menunjukkan bahwa kerentanan dapat diteliti atau diuji, tetapi tidak dengan sendirinya membuktikan bahwa serangan telah terjadi secara luas.

Materi sumber menyebutkan belum ada laporan eksploitasi berbahaya di lingkungan nyata pada saat laporan tersebut diterbitkan. Meski demikian, organisasi tidak sebaiknya menunggu bukti serangan sebelum memasang pembaruan yang tersedia.

HTTP2Shell menjadi pengingat bahwa komponen sumber terbuka yang digunakan secara luas dapat membawa risiko lintas platform ketika kerentanan ditemukan pada bagian inti pustaka.

Pengelolaan keamanan karena itu tidak cukup hanya berfokus pada aplikasi utama. Inventarisasi dependensi, pemantauan advisori vendor, dan pembaruan hingga ke komponen yang dibundel perlu menjadi bagian dari pemeliharaan keamanan sistem secara berkelanjutan.