Ne oldu?
Hacker News'te öne çıkan bir güvenlik yazısına göre Node2Shell adıyla anılan açık, HTTP2Shell'e evrildi. Bu, sorunun yalnızca tek bir bileşenle sınırlı kalmadığını, HTTP katmanında daha geniş bir yüzeye yayıldığını gösteriyor.
Etki alanı
Başlıkta açığın "blast radius"unun birçok HTTP kütüphanesini ve uygulamasını kapsadığı belirtiliyor. Yani sorun, tek bir projede değil, ortak HTTP altyapısını kullanan çok sayıda yazılımda karşımıza çıkabilir.
Neden önemli?
HTTP kütüphaneleri neredeyse her web uygulamasının temelinde yer alır. Ortak bir bileşendeki açık, onu kullanan tüm uygulamalara zincirleme olarak yayılabilir. Bu yüzden etkilenen kütüphanelerin ve bağımlılıkların hızla taranması gerekiyor.
Ne yapmalı?
Kaynak metin yalnızca başlık düzeyinde bilgi içeriyor; sürüm numarası, etkilenen paket listesi veya yama bilgisi paylaşılmıyor. Kesin ayrıntılar için Aikido'nun blog yazısına ve ilgili CVE kaydına bakılmalı.
