OpenAI Codex Security ટીમે Node.jsમાં એક ગંભીર ખામી જાહેર કરી છે, જે સર્વર માત્ર સંકુચિત ડેટા પ્રોસેસ કરે ત્યારે જ તેને રિમોટલી કબજે કરવાની સ્થિતિ ઊભી કરી શકે છે. હવે **Node2Shell** તરીકે ઓળખાતી આ બગ (જેને **CVE-2026-111497** તરીકે ટ્રેક કરવામાં આવે છે) માટે સત્તાવાર રીતે 21 ઓક્ટોબર, 2026ના રોજ પેચ બહાર પાડવામાં આવ્યો હતો. આ ખામી Brotli કમ્પ્રેશનનો ઉપયોગ કરતી એપ્લિકેશનો માટે ગંભીર જોખમ ઊભું કરે છે.
—
## સમસ્યા શું છે?
– જ્યારે Node.js `node:zlib` મોડ્યુલ મારફતે Brotli-કમ્પ્રેસ્ડ ઇનપુટને ડિકમ્પ્રેસ કરે છે, ત્યારે કમ્પ્રેસ્ડ સ્ટ્રીમમાં રહેલી અમાન્ય સૂચનાને યોગ્ય રીતે હેન્ડલ કરવામાં આવતી નથી. ભૂલ દર્શાવવાને બદલે ડિકોડર વધારાના ડેટાની રાહ જોતું રહે છે.
– આ વિલંબ દરમિયાન બાઇટ્સ આંતરિક આઠ-બાઇટ બફરમાં પ્રવેશતા રહે છે. અંતે ડેટા આ બફરની મર્યાદા વટાવીને મેમરીને નુકસાન પહોંચાડે છે. તેના પરિણામે સર્વર ક્રેશ થઈ શકે છે, મેમરીની સામગ્રી અનધિકૃત રીતે જાહેર થઈ શકે છે અથવા રિમોટ કોડ એક્ઝિક્યુશન થઈ શકે છે.
—
## શોધ અને રિપોર્ટ કરનાર
– આ ખામી OpenAIની Codex Security ટીમે ઓળખી હતી. આ નબળાઈ શોધવાનો શ્રેય સંશોધકો **Khai Tran** અને **Sylvie Mayer**ને આપવામાં આવ્યો છે.
– OpenAIએ જણાવ્યું હતું કે આંતરિક સેન્ડબોક્સ-એસ્કેપ પરીક્ષણો દરમિયાન તેના AI એજન્ટ્સે Brotli ડિકોડરમાં રહેલી આ નબળાઈ સ્વતંત્ર રીતે શોધી કાઢી હતી.
—
## વ્યાપ અને ગંભીરતા
– Node.jsએ આ નબળાઈને સત્તાવાર રીતે **High severity** તરીકે વર્ગીકૃત કરી છે.
– Google જેવા અન્ય વિક્રેતાઓએ CVSS 4.0 હેઠળ તેને **Critical** રેટિંગ (CVSS 9.2) આપ્યું છે. Red Hatએ તેને 8.1ના સ્કોર સાથે “Important” તરીકે ચિહ્નિત કરી છે.
—
## અસરગ્રસ્ત સોફ્ટવેર અને વર્ઝન
– અસરગ્રસ્ત Node.js વર્ઝનમાં **22.23.4**, **24.22.1**, અને **26.12.1**નો સમાવેશ થાય છે. આ વર્ઝન અથવા તેનાથી અગાઉના રિલીઝનો ઉપયોગ કરતા વપરાશકર્તાઓ જોખમમાં છે.
– Brotli ડિકોડિંગ પર આધારિત અન્ય સોફ્ટવેર પણ અસરગ્રસ્ત હોઈ શકે છે — ઉદાહરણ તરીકે **Bun** અને **Envoy**.
—
## એક્સપ્લોઇટ કેવી રીતે કામ કરે છે
– હુમલાખોરો દૂષિત Brotli ડેટા તૈયાર કરી શકે છે. જો કોઈ Node.js સર્વર આ રીતે સપ્લાય કરાયેલા ડેટાને (`node:zlib` મારફતે) ડિકમ્પ્રેસ કરે, તો એક્સપ્લોઇટ મેમરીને નુકસાન પહોંચાડી શકે છે. અગાઉથી કોઈ ઓથેન્ટિકેશન જરૂરી નથી.
– એક્ઝિક્યુશન પર્યાવરણ અને ડેટા કેવી રીતે પ્રોસેસ થાય છે તેના આધારે, પરિણામે સિસ્ટમ ક્રેશ, માહિતી લીક અથવા મનસ્વી કોડના એક્ઝિક્યુશન જેવી સમસ્યાઓ ઊભી થઈ શકે છે.
—
## સુરક્ષા અને ઉપાય
– Node.jsએ સુધારેલા વર્ઝન બહાર પાડ્યા છે. 22.23.4, 24.22.1 અથવા 26.12.1 કે તેનાથી નીચેના વર્ઝન ચલાવતા વપરાશકર્તાઓએ તાત્કાલિક અપગ્રેડ કરવું જોઈએ.
– પેચ લાગુ ન થાય ત્યાં સુધી, સિસ્ટમ એડમિનિસ્ટ્રેટરોએ અવિશ્વસનીય Brotli ઇનપુટને ડિકમ્પ્રેસ થતું અટકાવવું જોઈએ. તેનો અર્થ છે:
* કોઈપણ પ્રોક્સી અથવા પાર્સર તેના પર પ્રક્રિયા કરે તે પહેલાં `Content-Encoding: br` હેડર ધરાવતી આવતી વિનંતીઓને નકારી કાઢવી.
* HTTP ક્લાયન્ટ્સમાં આપમેળે થતું Brotli ડિકોડિંગ બંધ કરવું અને ખાસ કરીને અવિશ્વસનીય સ્રોતોમાંથી આવતા Brotli રિસ્પોન્સને સંપૂર્ણપણે નકારી કાઢવા.
* Brotli અથવા brotlicffi પેકેજનો ઉપયોગ કરતા Python ક્લાયન્ટ્સ માટે, આ પેકેજોને અનઇન્સ્ટોલ કરવા જેથી સિસ્ટમ gzip અથવા deflate જેવા વધુ સુરક્ષિત વિકલ્પોનો ઉપયોગ કરે.
—
## પેચ બહાર પાડવામાં વિલંબ કેમ થયો?
– જોકે મૂળ કારણને Brotli પ્રોજેક્ટમાં 27 ફેબ્રુઆરી, 2026ના રોજ અપસ્ટ્રીમ સ્તરે ઠીક કરવામાં આવ્યું હતું, પરંતુ 21 ઓક્ટોબર, 2026 સુધી કોઈ સ્થિર Brotli રિલીઝમાં આ સુધારો સામેલ થયો નહોતો — જેના કારણે આ સમયગાળા દરમિયાન અનેક સિસ્ટમ્સ જોખમમાં રહી.
– આ સુધારો મર્જ થઈને Node.js અને અન્ય પર્યાવરણોમાં ઉપયોગમાં લેવાતા Brotli પેકેજ સુધી પહોંચે ત્યાં સુધી, નબળાઈનો ઉપાય થયો નહોતો.
—
## અસરો
– ડેવલપરો માટે, આ નબળાઈ વ્યાપકપણે ઉપયોગમાં લેવાતા રનટાઇમ્સમાં સામેલ નેટિવ મોડ્યુલો સાથે સંકળાયેલા જોખમોને ઉજાગર કરે છે. કોઈ કોર લાઇબ્રેરીમાં રહેલી એક જ ખામી લાખો વેબ સર્વર્સને અસર કરી શકે છે.
– સુરક્ષા કામગીરીના દૃષ્ટિકોણથી, આ ખામી દર્શાવે છે કે કમ્પ્રેસ્ડ સ્ટ્રીમ્સમાં રહેલી અમાન્ય સૂચનાઓ જેવી કિનારી પરિસ્થિતિ યોગ્ય રીતે હેન્ડલ ન થાય તો અત્યંત ગંભીર પરિણામો આવી શકે છે.
– મોટી અને નાની બંને સંસ્થાઓ માટે તાત્કાલિક કાર્યવાહી જરૂરી છે: પેચ વિના ચાલતા Node.js ડિપ્લોયમેન્ટ્સ નોંધપાત્ર જોખમમાં છે.
—
## સંક્ષેપમાં
– OpenAIની Codex Security ટીમે Node.jsમાં એક ગંભીર બગ શોધી કાઢ્યો છે, જે ખોટી રીતે તૈયાર કરાયેલા Brotli કમ્પ્રેસ્ડ ડેટા મારફતે રિમોટ કોડ એક્ઝિક્યુશનને શક્ય બનાવે છે.
– આ ખામી — CVE-2026-111497 અથવા “Node2Shell” — મૂલ્યાંકન કરનાર સંસ્થા અનુસાર High થી Critical સુધીની રેટિંગ ધરાવે છે.
– ખોટી રીતે તૈયાર કરાયેલ ડેટા Node.jsમાં આંતરિક બફર ઓવરફ્લો કરી શકે છે, જેના પરિણામે મેમરીને નુકસાન થઈ શકે છે.
– આ નબળાઈ 22.23.4, 24.22.1 અને 26.12.1 વર્ઝનમાં ઠીક કરવામાં આવી છે. તાત્કાલિક પેચ લાગુ કરવો અથવા ઉપાયો અમલમાં મૂકવા અત્યંત જરૂરી છે.
This article is AI-generated content. Please verify the information independently before taking any action based on this article.
