OpenAI Codex security குழு, சுருக்கப்பட்ட தரவை கையாளும் போதே சர்வர்களைத் தொலைநிலை கட்டுப்பாட்டுக்குள் கொண்டு செல்ல அனுமதிக்கும் கடுமையான Node.js குறைபாட்டை வெளிப்படுத்தியுள்ளது. தற்போது **Node2Shell** என அழைக்கப்படும் இந்தப் பிழை (**CVE-2026-111497**), 2026 அக்டோபர் 21 அன்று அதிகாரப்பூர்வமாக சரிசெய்யப்பட்டது. Brotli compression-ஐப் பயன்படுத்தும் பயன்பாடுகளுக்கு இது தீவிர அச்சுறுத்தலாக உள்ளது.
—
## பிரச்சினை என்ன?
– `node:zlib` module மூலம் Node.js, Brotli-compressed input-ஐ decompress செய்யும் போது, compressed stream-இல் உள்ள invalid instruction ஒன்று சரியாக கையாளப்படுவதில்லை. பிழையை வெளியிடுவதற்குப் பதிலாக, decoder கூடுதல் தரவுக்காகக் காத்திருப்பதைத் தொடர்கிறது.
– இந்த தாமதத்தின்போது bytes தொடர்ந்து internal eight-byte buffer-க்குள் செல்கின்றன. இறுதியில், தரவு அந்த buffer-ஐ மீறி memory-ஐக் கெடுக்கிறது. இதனால் server crashes, memory contents-ஐ அங்கீகரிக்கப்படாத முறையில் வெளியிடுதல் அல்லது remote code execution ஏற்படலாம்.
—
## கண்டுபிடிப்பு மற்றும் இதைப் புகாரளித்தவர்கள்
– இந்தக் குறைபாட்டை OpenAI-யின் Codex Security குழு கண்டறிந்தது. இந்தப் பலவீனத்தைக் கண்டறிந்தவர்கள் என **Khai Tran** மற்றும் **Sylvie Mayer** ஆகிய ஆராய்ச்சியாளர்கள் குறிப்பிடப்பட்டுள்ளனர்.
– உள்நாட்டு sandbox-escape சோதனைகளின்போது செயல்பட்ட OpenAI-யின் AI agents, Brotli decoder-இல் உள்ள இந்த vulnerability-ஐத் தன்னிச்சையாகக் கண்டறிந்ததாக OpenAI தெரிவித்துள்ளது.
—
## பாதிப்பு வரம்பு மற்றும் தீவிரம்
– Node.js இந்த vulnerability-ஐ அதிகாரப்பூர்வமாக **High severity** என வகைப்படுத்தியுள்ளது.
– Google உள்ளிட்ட கூடுதல் vendors, CVSS 4.0 அடிப்படையில் இதற்கு **Critical** மதிப்பீட்டை (CVSS 9.2) வழங்கியுள்ளன. Red Hat இதை “Important” எனக் குறித்ததுடன், 8.1 மதிப்பெண்ணையும் வழங்கியுள்ளது.
—
## பாதிக்கப்பட்ட மென்பொருள் மற்றும் பதிப்புகள்
– பாதிக்கப்பட்ட Node.js பதிப்புகளில் **22.23.4**, **24.22.1** மற்றும் **26.12.1** ஆகியவை அடங்கும். இந்தப் பதிப்புகள் அல்லது அதற்கு முந்தைய வெளியீடுகளைப் பயன்படுத்தும் பயனர்கள் ஆபத்தில் உள்ளனர்.
– Brotli decoding-ஐ நம்பியிருக்கும் பிற மென்பொருட்களும் பாதிக்கப்படலாம் — உதாரணமாக **Bun** மற்றும் **Envoy**.
—
## Exploit எவ்வாறு செயல்படுகிறது?
– Attackers தீங்கிழைக்கும் Brotli data-வை உருவாக்கலாம். Node.js server, வழங்கப்பட்ட இந்த data-வை (`node:zlib` மூலம்) decompress செய்தால், exploit memory corruption-ஐ ஏற்படுத்தக்கூடும். முன்கூட்டிய authentication எதுவும் தேவையில்லை.
– Execution environment மற்றும் data செயலாக்கப்படும் விதத்தைப் பொறுத்து, இதனால் ஏற்படும் பாதிப்பு crash, information leaks அல்லது arbitrary code execution என வெளிப்படலாம்.
—
## பாதுகாப்பு மற்றும் தீர்வு
– Node.js சரிசெய்யப்பட்ட பதிப்புகளை வெளியிட்டுள்ளது. 22.23.4, 24.22.1 அல்லது 26.12.1 அல்லது அதற்கு முந்தைய பதிப்புகளைப் பயன்படுத்தும் பயனர்கள் உடனடியாக upgrade செய்ய வேண்டும்.
– Patch நிறுவப்படும் வரை, system administrators நம்பகமற்ற Brotli input-ஐ decompress செய்வதைத் தடுக்க வேண்டும். அதாவது:
* எந்த proxy அல்லது parser செயல்படுவதற்கும் முன்பாக, `Content-Encoding: br` header கொண்ட incoming requests-ஐ நிராகரிக்க வேண்டும்.
* HTTP clients-இல் automatic Brotli decoding-ஐ முடக்கி, குறிப்பாக நம்பமுடியாத sources-இலிருந்து வரும் Brotli responses-ஐ முழுமையாக நிராகரிக்க வேண்டும்.
* Brotli அல்லது brotlicffi packages-ஐப் பயன்படுத்தும் Python clients-க்கு, அவற்றை uninstall செய்ய வேண்டும். இதனால் system, gzip அல்லது deflate போன்ற பாதுகாப்பான alternatives-க்கு மாறும்.
—
## Patch வெளியிடுவதில் தாமதம் ஏன்?
– இதன் root cause, Brotli project-இல் 2026 பிப்ரவரி 27 அன்று upstream-ஆக சரிசெய்யப்பட்டிருந்தாலும், அந்தச் சரிசெய்தலைக் கொண்ட stable Brotli release எதுவும் 2026 அக்டோபர் 21 வரை வெளியிடப்படவில்லை. இதனால் அந்த இடைக்காலத்தில் பல systems பாதிப்புக்கு உள்ளாகின.
– Node.js மற்றும் பிற environments பயன்படுத்தும் Brotli package-இல் fix merge செய்யப்பட்டு, அது பரவலாகக் கிடைக்கும் வரை, இந்த vulnerability சரிசெய்யப்படாமல் இருந்தது.
—
## தாக்கங்கள்
– Developers-க்கு, பரவலாகப் பயன்படுத்தப்படும் runtimes-இல் bundled native modules கொண்டிருப்பதால் ஏற்படும் அபாயங்களை இந்த vulnerability வெளிப்படுத்துகிறது. Core library-யில் உள்ள ஒரு குறைபாடு, கோடிக்கணக்கான web servers-ஐப் பாதிக்கும் தொடர் விளைவுகளை ஏற்படுத்தலாம்.
– Security operations கண்ணோட்டத்தில், compressed streams-இல் உள்ள invalid instructions போன்ற edge cases சரியாக கையாளப்படாதபோது, அவை மிகக் கடுமையான விளைவுகளுக்கு வழிவகுக்கும் என்பதை இந்தக் குறைபாடு எடுத்துக்காட்டுகிறது.
– பெரிய மற்றும் சிறிய நிறுவனங்கள் அனைத்தும் அவசர நடவடிக்கை எடுக்க வேண்டும்: patch செய்யப்படாத Node.js deployments குறிப்பிடத்தக்க ஆபத்தில் உள்ளன.
—
## சுருக்கமாக
– OpenAI-யின் Codex Security குழு, malformed Brotli compressed data மூலம் remote code execution-ஐ அனுமதிக்கும் Node.js-இன் critical bug-ஐக் கண்டறிந்துள்ளது.
– இந்தக் குறைபாடு — CVE-2026-111497 அல்லது “Node2Shell” — மதிப்பீடு செய்பவரைப் பொறுத்து High முதல் Critical வரை மதிப்பிடப்பட்டுள்ளது.
– Malformed data, Node.js-இல் உள்ள internal buffers-ஐ overflow செய்யச் செய்து, memory corruption-க்கு வழிவகுக்கலாம்.
– இந்த vulnerability 22.23.4, 24.22.1 மற்றும் 26.12.1 பதிப்புகளில் சரிசெய்யப்பட்டுள்ளது. உடனடியாக patch செய்வது அல்லது mitigation நடவடிக்கைகளைச் செயல்படுத்துவது அவசியம்.
This article is AI-generated content. Please verify the information independently before taking any action based on this article.
