OpenAI ಭದ್ರತಾ ತಂಡ ಪತ್ತೆಹಚ್ಚಿದ ಗಂಭೀರ Node.js ದೋಷ: ಸಂಕುಚಿತ ಡೇಟಾ ಸರ್ವರ್‌ನ್ನು ವಶಪಡಿಸಿಕೊಳ್ಳಬಹುದು

OpenAI Codex Security ತಂಡವು Node.js‌ನಲ್ಲಿ ಗಂಭೀರ ದೋಷವೊಂದನ್ನು ಬಹಿರಂಗಪಡಿಸಿದೆ. ಸಂಕುಚಿತ ಡೇಟಾವನ್ನು ನಿರ್ವಹಿಸುವ ಸಂದರ್ಭದಲ್ಲೇ ಈ ದೋಷವು ಸರ್ವರ್‌ಗಳನ್ನು ದೂರಸ್ಥವಾಗಿ ವಶಪಡಿಸಿಕೊಳ್ಳಲು ಅವಕಾಶ ನೀಡುತ್ತದೆ. ಈಗ **Node2Shell** ಎಂದು ಕರೆಯಲಾಗುತ್ತಿರುವ ಈ ದೋಷವನ್ನು (**CVE-2026-111497**) 2026ರ ಅಕ್ಟೋಬರ್ 21ರಂದು ಅಧಿಕೃತವಾಗಿ ಪ್ಯಾಚ್ ಮಾಡಲಾಗಿದೆ. Brotli ಸಂಕುಚನ ಬಳಸುವ ಅಪ್ಲಿಕೇಶನ್‌ಗಳಿಗೆ ಇದು ಗಂಭೀರ ಬೆದರಿಕೆಯಾಗಿದೆ.

—

## ಸಮಸ್ಯೆ ಏನು?

– `node:zlib` ಮಾಡ್ಯೂಲ್ ಮೂಲಕ Node.js Brotli-ಸಂಕುಚಿತ ಇನ್‌ಪುಟ್ ಅನ್ನು ಡಿಕಂಪ್ರೆಸ್ ಮಾಡುವಾಗ, ಸಂಕುಚಿತ ಸ್ಟ್ರೀಮ್‌ನಲ್ಲಿರುವ ಅಮಾನ್ಯ ಸೂಚನೆಯನ್ನು ಸರಿಯಾಗಿ ನಿರ್ವಹಿಸಲಾಗುವುದಿಲ್ಲ. ದೋಷವನ್ನು ತೋರಿಸುವ ಬದಲು, ಡಿಕೋಡರ್ ಹೆಚ್ಚುವರಿ ಡೇಟಾಕ್ಕಾಗಿ ಕಾಯುತ್ತಲೇ ಇರುತ್ತದೆ.
– ಈ ವಿಳಂಬದ ಅವಧಿಯಲ್ಲಿ, ಬೈಟ್‌ಗಳು ಆಂತರಿಕ ಎಂಟು-ಬೈಟ್ ಬಫರ್‌ಗೆ ಹರಿಯುತ್ತಲೇ ಇರುತ್ತವೆ. ಕೊನೆಗೆ, ಡೇಟಾ ಆ ಬಫರ್‌ನ ಮಿತಿಯನ್ನು ಮೀರಿ ಮೆಮೊರಿಯನ್ನು ಹಾನಿಗೊಳಿಸುತ್ತದೆ. ಇದರಿಂದ ಸರ್ವರ್ ಕ್ರ್ಯಾಶ್‌ಗಳು, ಮೆಮೊರಿ ವಿಷಯಗಳ ಅನಧಿಕೃತ ಬಹಿರಂಗಪಡಿಸುವಿಕೆ ಅಥವಾ ದೂರಸ್ಥ ಕೋಡ್ ಕಾರ್ಯಗತಗೊಳಿಸುವಿಕೆ ಸಂಭವಿಸಬಹುದು.

—

## ಪತ್ತೆ ಮತ್ತು ವರದಿ ಮಾಡಿದವರು

– ಈ ದೋಷವನ್ನು OpenAIಯ Codex Security ತಂಡ ಗುರುತಿಸಿದ್ದು, ದೌರ್ಬಲ್ಯವನ್ನು ಪತ್ತೆಹಚ್ಚಿದ ಸಂಶೋಧಕರಾಗಿ **Khai Tran** ಮತ್ತು **Sylvie Mayer** ಅವರಿಗೆ ಕ್ರೆಡಿಟ್ ನೀಡಲಾಗಿದೆ.
– ಆಂತರಿಕ sandbox-escape ಪರೀಕ್ಷೆಗಳ ಸಂದರ್ಭದಲ್ಲಿ ಕಾರ್ಯನಿರ್ವಹಿಸುತ್ತಿದ್ದ OpenAIಯ AI ಏಜೆಂಟ್‌ಗಳು Brotli ಡಿಕೋಡರ್‌ನಲ್ಲಿನ ಈ ದುರ್ಬಲತೆಯನ್ನು ಸ್ವತಂತ್ರವಾಗಿ ಪತ್ತೆಹಚ್ಚಿದವು ಎಂದು OpenAI ತಿಳಿಸಿದೆ.

—

## ವ್ಯಾಪ್ತಿ ಮತ್ತು ತೀವ್ರತೆ

– Node.js ಈ ದುರ್ಬಲತೆಯನ್ನು ಅಧಿಕ ತೀವ್ರತೆಯ (High severity) ದೋಷವೆಂದು ಅಧಿಕೃತವಾಗಿ ವರ್ಗೀಕರಿಸಿದೆ.
– Google ಸೇರಿದಂತೆ ಇತರ ಮಾರಾಟಗಾರರು CVSS 4.0 ಅಡಿಯಲ್ಲಿ ಇದಕ್ಕೆ Critical ರೇಟಿಂಗ್ (CVSS 9.2) ನೀಡಿದ್ದಾರೆ. Red Hat ಇದನ್ನು 8.1 ಅಂಕಗಳೊಂದಿಗೆ “Important” ಎಂದು ಗುರುತಿಸಿದೆ.

—

## ಪರಿಣಾಮಕ್ಕೊಳಗಾದ ಸಾಫ್ಟ್‌ವೇರ್ ಮತ್ತು ಆವೃತ್ತಿಗಳು

– ಪರಿಣಾಮಕ್ಕೊಳಗಾದ Node.js ಆವೃತ್ತಿಗಳಲ್ಲಿ **22.23.4**, **24.22.1**, ಮತ್ತು **26.12.1** ಸೇರಿವೆ. ಈ ಆವೃತ್ತಿಗಳು ಅಥವಾ ಅದಕ್ಕಿಂತ ಹಿಂದಿನ ಬಿಡುಗಡೆಗಳನ್ನು ಬಳಸುತ್ತಿರುವವರು ಅಪಾಯದಲ್ಲಿದ್ದಾರೆ.
– Brotli ಡಿಕೋಡಿಂಗ್ ಮೇಲೆ ಅವಲಂಬಿತವಾಗಿರುವ ಇತರ ಸಾಫ್ಟ್‌ವೇರ್‌ಗಳೂ ಪರಿಣಾಮಕ್ಕೊಳಗಾಗಬಹುದು — ಉದಾಹರಣೆಗೆ **Bun** ಮತ್ತು **Envoy**.

—

## ಎಕ್ಸ್‌ಪ್ಲಾಯಿಟ್ ಹೇಗೆ ಕಾರ್ಯನಿರ್ವಹಿಸುತ್ತದೆ?

– ದಾಳಿಕೋರರು ದುರುದ್ದೇಶಪೂರಿತ Brotli ಡೇಟಾವನ್ನು ರಚಿಸಬಹುದು. Node.js ಸರ್ವರ್ ಈ ಬಳಕೆದಾರರು ಒದಗಿಸಿದ ಡೇಟಾವನ್ನು (`node:zlib` ಮೂಲಕ) ಡಿಕಂಪ್ರೆಸ್ ಮಾಡಿದರೆ, ಎಕ್ಸ್‌ಪ್ಲಾಯಿಟ್ ಮೆಮೊರಿಯನ್ನು ಹಾನಿಗೊಳಿಸಬಹುದು. ಇದಕ್ಕಾಗಿ ಮುಂಚಿತ ದೃಢೀಕರಣದ ಅಗತ್ಯವಿಲ್ಲ.
– ಕಾರ್ಯಗತಗೊಳಿಸುವ ಪರಿಸರ ಮತ್ತು ಡೇಟಾ ಸಂಸ್ಕರಣೆಯ ವಿಧಾನವನ್ನು ಅವಲಂಬಿಸಿ, ಉಂಟಾಗುವ ವ್ಯತ್ಯಯವು ಕ್ರ್ಯಾಶ್, ಮಾಹಿತಿ ಸೋರಿಕೆ ಅಥವಾ ಯಾವುದೇ ಕೋಡ್ ಅನ್ನು ಕಾರ್ಯಗತಗೊಳಿಸುವ ರೂಪದಲ್ಲಿ ಕಾಣಿಸಿಕೊಳ್ಳಬಹುದು.

—

## ರಕ್ಷಣೆ ಮತ್ತು ಪರಿಹಾರ

– Node.js ಸರಿಪಡಿಸಲಾದ ಆವೃತ್ತಿಗಳನ್ನು ಬಿಡುಗಡೆ ಮಾಡಿದೆ. 22.23.4, 24.22.1 ಅಥವಾ 26.12.1 ಅಥವಾ ಅದಕ್ಕಿಂತ ಹಿಂದಿನ ಆವೃತ್ತಿಗಳನ್ನು ಬಳಸುತ್ತಿರುವವರು ತಕ್ಷಣ ಅಪ್‌ಗ್ರೇಡ್ ಮಾಡಬೇಕು.
– ಪ್ಯಾಚ್‌ ಮಾಡುವವರೆಗೆ, ಸಿಸ್ಟಮ್ ನಿರ್ವಾಹಕರು ವಿಶ್ವಾಸಾರ್ಹವಲ್ಲದ Brotli ಇನ್‌ಪುಟ್‌ನ ಡಿಕಂಪ್ರೆಶನ್ ಅನ್ನು ತಡೆಯಬೇಕು. ಅಂದರೆ:
* ಯಾವುದೇ ಪ್ರಾಕ್ಸಿ ಅಥವಾ ಪಾರ್ಸರ್ ಕೆಲಸ ಮಾಡುವ ಮೊದಲು, `Content-Encoding: br` ಹೆಡರ್ ಹೊಂದಿರುವ ಒಳಬರುವ ವಿನಂತಿಗಳನ್ನು ತಿರಸ್ಕರಿಸಬೇಕು.
* HTTP ಕ್ಲೈಂಟ್‌ಗಳಲ್ಲಿ ಸ್ವಯಂಚಾಲಿತ Brotli ಡಿಕೋಡಿಂಗ್ ಅನ್ನು ಆಫ್ ಮಾಡಬೇಕು ಮತ್ತು ವಿಶೇಷವಾಗಿ ವಿಶ್ವಾಸಾರ್ಹವಲ್ಲದ ಮೂಲಗಳಿಂದ ಬರುವ Brotli ಪ್ರತಿಕ್ರಿಯೆಗಳನ್ನು ಸಂಪೂರ್ಣವಾಗಿ ತಿರಸ್ಕರಿಸಬೇಕು.
* Brotli ಅಥವಾ brotlicffi ಪ್ಯಾಕೇಜ್‌ಗಳನ್ನು ಬಳಸುವ Python ಕ್ಲೈಂಟ್‌ಗಳಲ್ಲಿ, ಅವುಗಳನ್ನು ಅನ್‌ಇನ್‌ಸ್ಟಾಲ್ ಮಾಡಬೇಕು. ಇದರಿಂದ ಸಿಸ್ಟಮ್ gzip ಅಥವಾ deflate‌ನಂತಹ ಹೆಚ್ಚು ಸುರಕ್ಷಿತ ಪರ್ಯಾಯಗಳಿಗೆ ಹಿಂತಿರುಗುತ್ತದೆ.

—

## ಪ್ಯಾಚ್ ಬಿಡುಗಡೆ ವಿಳಂಬವಾದದ್ದು ಏಕೆ?

– ಮೂಲ ಕಾರಣವನ್ನು Brotli ಪ್ರಾಜೆಕ್ಟ್‌ನಲ್ಲಿ 2026ರ ಫೆಬ್ರವರಿ 27ರಂದು ಸರಿಪಡಿಸಲಾಗಿದ್ದರೂ, 2026ರ ಅಕ್ಟೋಬರ್ 21ರವರೆಗೆ ಯಾವುದೇ ಸ್ಥಿರ Brotli ಬಿಡುಗಡೆ ಆ ಸರಿಪಡಿಸುವಿಕೆಯನ್ನು ಒಳಗೊಂಡಿರಲಿಲ್ಲ — ಈ ಅವಧಿಯಲ್ಲಿ ಅನೇಕ ಸಿಸ್ಟಮ್‌ಗಳು ಅಪಾಯದಲ್ಲೇ ಉಳಿದವು.
– ಈ ಸರಿಪಡಿಸುವಿಕೆ Node.js ಮತ್ತು ಇತರ ಪರಿಸರಗಳಲ್ಲಿ ಬಳಸುವ Brotli ಪ್ಯಾಕೇಜ್‌ಗೆ ವಿಲೀನಗೊಂಡು ವ್ಯಾಪಕವಾಗಿ ಲಭ್ಯವಾಗುವವರೆಗೆ, ದುರ್ಬಲತೆ ಪರಿಹಾರವಿಲ್ಲದೆ ಮುಂದುವರಿಯಿತು.

—

## ಪರಿಣಾಮಗಳು

– ಡೆವಲಪರ್‌ಗಳಿಗೆ, ವ್ಯಾಪಕವಾಗಿ ಬಳಸುವ ರನ್‌ಟೈಮ್‌ಗಳಲ್ಲಿ ಒಳಗೊಂಡಿರುವ native ಮಾಡ್ಯೂಲ್‌ಗಳ ಅಪಾಯವನ್ನು ಈ ದುರ್ಬಲತೆ ತೋರಿಸುತ್ತದೆ. ಕೋರ್ ಲೈಬ್ರರಿಯಲ್ಲಿನ ಒಂದೇ ದೋಷವು ಕೋಟ್ಯಂತರ ವೆಬ್ ಸರ್ವರ್‌ಗಳ ಮೇಲೆ ಪರಿಣಾಮ ಬೀರಬಹುದು.
– ಭದ್ರತಾ ಕಾರ್ಯಾಚರಣೆಗಳ ದೃಷ್ಟಿಯಿಂದ, ಸಂಕುಚಿತ ಸ್ಟ್ರೀಮ್‌ಗಳಲ್ಲಿನ ಅಮಾನ್ಯ ಸೂಚನೆಗಳಂತಹ ಅಂಚಿನ ಸಂದರ್ಭಗಳನ್ನು ಸರಿಯಾಗಿ ನಿರ್ವಹಿಸದಿದ್ದರೆ ಅವು ಅತ್ಯಂತ ಗಂಭೀರ ಪರಿಣಾಮಗಳಿಗೆ ಕಾರಣವಾಗಬಹುದು ಎಂಬುದನ್ನು ಈ ದೋಷ ಎತ್ತಿಹಿಡಿಯುತ್ತದೆ.
– ದೊಡ್ಡದಾಗಿರಲಿ ಅಥವಾ ಚಿಕ್ಕದಾಗಿರಲಿ, ಎಲ್ಲ ಸಂಸ್ಥೆಗಳೂ ತುರ್ತು ಕ್ರಮ ಕೈಗೊಳ್ಳಬೇಕು: ಪ್ಯಾಚ್ ಮಾಡದ Node.js ನಿಯೋಜನೆಗಳು ಗಮನಾರ್ಹ ಅಪಾಯದಲ್ಲಿವೆ.

—

## ಸಂಕ್ಷಿಪ್ತವಾಗಿ

– OpenAIಯ Codex Security ತಂಡವು ದೋಷಪೂರಿತ Brotli ಸಂಕುಚಿತ ಡೇಟಾ ಮೂಲಕ ದೂರಸ್ಥ ಕೋಡ್ ಕಾರ್ಯಗತಗೊಳಿಸಲು ಅವಕಾಶ ನೀಡುವ Node.js‌ನ ಗಂಭೀರ ದೋಷವನ್ನು ಪತ್ತೆಹಚ್ಚಿದೆ.
– CVE-2026-111497 ಅಥವಾ “Node2Shell” ಎಂದು ಕರೆಯಲಾಗುವ ಈ ದೋಷಕ್ಕೆ ಮೌಲ್ಯಮಾಪಕರನ್ನು ಅವಲಂಬಿಸಿ High ರಿಂದ Critical ವರೆಗೆ ರೇಟಿಂಗ್ ನೀಡಲಾಗಿದೆ.
– ದೋಷಪೂರಿತ ಡೇಟಾವು Node.js‌ನ ಆಂತರಿಕ ಬಫರ್‌ಗಳನ್ನು ಓವರ್‌ಫ್ಲೋ ಮಾಡಿಸಿ ಮೆಮೊರಿ ಹಾನಿಗೆ ಕಾರಣವಾಗಬಹುದು.
– ಈ ದುರ್ಬಲತೆಯನ್ನು 22.23.4, 24.22.1 ಮತ್ತು 26.12.1 ಆವೃತ್ತಿಗಳಲ್ಲಿ ಸರಿಪಡಿಸಲಾಗಿದೆ. ತಕ್ಷಣವೇ ಪ್ಯಾಚ್ ಮಾಡುವುದು ಅಥವಾ ತಡೆಗಟ್ಟುವ ಕ್ರಮಗಳನ್ನು ಜಾರಿಗೆ ತರುವುದು ಅತ್ಯಗತ್ಯ.

This article is AI-generated content. Please verify the information independently before taking any action based on this article.