Brotliの問題、Go実装にも調査対象が拡大―外部入力を展開する経路の確認を

Sweet Securityは2026年10月25日16時11分の米東部時間（日本時間26日5時11分）の発表で、Node2Shellと呼ばれるBrotliの問題について、Go実装でも同種の問題に対する修正を確認したと報告しました。Node.js向け更新に続き、Go製のHTTP基盤でも利用するライブラリと処理経路を調べるよう求めています。

同社によると、Go版Brotliには10月23日に修正が入りました。調査ではTraefik、Fiber、Iris、fasthttpに直接または間接の依存関係を確認しています。ただし、依存ライブラリが含まれることだけで、対象アプリを攻撃できるとは判断できないと明記しています。

確認の分かれ目は、外部から受け取ったBrotli圧縮データを展開するかどうかです。発表ではTraefikの利用例は送信する応答の圧縮である一方、Fiberではリクエスト本文を読み取る処理から展開に到達する経路を挙げています。圧縮する機能と、攻撃者が用意したデータを展開する機能を一括りにできません。

運用担当者はGoそのもののバージョンだけでなく、組み込まれたBrotliライブラリの版と、利用製品の修正案内を確認してください。今回の発表は、すべてのGoアプリの侵害や、列挙した製品での実被害を示すものではありません。製品名だけで一律に危険と判断せず、入力が届く条件を切り分ける必要があります。