OpenAI Codex-এর সিকিউরিটি টিম Node.js-এ একটি গুরুতর ত্রুটি প্রকাশ করেছে, যা সার্ভারকে রিমোট টেকওভারের ঝুঁকিতে ফেলতে পারে—শুধু কমপ্রেসড ডেটা প্রসেস করার সময়ই। বর্তমানে **Node2Shell** নামে পরিচিত এই বাগটি (**CVE-2026-111497**) ২১ অক্টোবর, ২০২৬-এ আনুষ্ঠানিকভাবে প্যাচ করা হয়েছে এবং Brotli কমপ্রেশন ব্যবহারকারী অ্যাপ্লিকেশনগুলোর জন্য এটি গুরুতর হুমকি তৈরি করছে।
—
## সমস্যাটি কী?
– Node.js যখন `node:zlib` মডিউলের মাধ্যমে Brotli-কমপ্রেসড ইনপুট ডিকমপ্রেস করে, তখন কমপ্রেসড স্ট্রিমের মধ্যে থাকা একটি অবৈধ instruction সঠিকভাবে পরিচালিত হয় না। ত্রুটি দেখানোর পরিবর্তে ডিকোডার অতিরিক্ত ডেটার জন্য অপেক্ষা করতে থাকে।
– এই বিলম্বের সময় আরও বাইট একটি অভ্যন্তরীণ আট-বাইট বাফারে প্রবেশ করতে থাকে। শেষ পর্যন্ত ডেটা ওই বাফারকে ওভারফ্লো করে এবং মেমরি করাপ্ট করে। এর ফলে সার্ভার ক্র্যাশ, মেমরির বিষয়বস্তু অননুমোদিতভাবে প্রকাশ অথবা রিমোট কোড এক্সিকিউশন হতে পারে।
—
## আবিষ্কার ও কারা রিপোর্ট করেছে
– ত্রুটিটি OpenAI-এর Codex Security টিম শনাক্ত করে। এই দুর্বলতা আবিষ্কারের কৃতিত্ব গবেষক **Khai Tran** এবং **Sylvie Mayer**-কে দেওয়া হয়েছে।
– OpenAI জানিয়েছে, অভ্যন্তরীণ sandbox-escape পরীক্ষার সময় তাদের AI agents স্বাধীনভাবে Brotli ডিকোডারে থাকা এই vulnerability আবিষ্কার করে।
—
## পরিধি ও গুরুত্ব
– Node.js আনুষ্ঠানিকভাবে vulnerability-টিকে **High severity** হিসেবে শ্রেণিবদ্ধ করেছে।
– Google-এর মতো অতিরিক্ত vendor-রা CVSS 4.0-এর অধীনে এটিকে **Critical** রেটিং দিয়েছে (CVSS 9.2)। Red Hat এটিকে “Important” হিসেবে চিহ্নিত করেছে এবং স্কোর দিয়েছে 8.1।
—
## প্রভাবিত সফটওয়্যার ও সংস্করণ
– প্রভাবিত Node.js সংস্করণগুলোর মধ্যে রয়েছে **22.23.4**, **24.22.1** এবং **26.12.1**। এই সংস্করণ বা তার আগের release ব্যবহারকারীরা ঝুঁকিতে রয়েছেন।
– Brotli decoding-এর ওপর নির্ভরশীল অন্যান্য সফটওয়্যারও প্রভাবিত হতে পারে—যেমন **Bun** এবং **Envoy**।
—
## Exploit কীভাবে কাজ করে
– আক্রমণকারীরা ক্ষতিকর Brotli ডেটা তৈরি করতে পারে। কোনও Node.js সার্ভার যদি সরবরাহ করা এই ডেটা (`node:zlib`-এর মাধ্যমে) ডিকমপ্রেস করে, তাহলে exploit মেমরি করাপ্ট করতে পারে। এর জন্য আগে থেকে authentication-এর প্রয়োজন হয় না।
– execution environment এবং ডেটা কীভাবে প্রসেস করা হচ্ছে তার ওপর নির্ভর করে, এর ফলে ক্র্যাশ, তথ্য ফাঁস অথবা নির্বিচারে কোড এক্সিকিউশন হতে পারে।
—
## সুরক্ষা ও প্রতিকার
– Node.js fixed version প্রকাশ করেছে। 22.23.4, 24.22.1 অথবা 26.12.1 বা তার আগের সংস্করণ ব্যবহারকারীদের অবিলম্বে upgrade করা উচিত।
– প্যাচ ইনস্টল না করা পর্যন্ত system administrator-দের untrusted Brotli input ডিকমপ্রেস করা বন্ধ রাখা উচিত। এর অর্থ:
* কোনও proxy বা parser কাজ করার আগেই `Content-Encoding: br` header-সহ incoming request প্রত্যাখ্যান করা।
* HTTP client-এ automatic Brotli decoding বন্ধ করা এবং বিশেষ করে untrusted source থেকে আসা Brotli response সম্পূর্ণভাবে প্রত্যাখ্যান করা।
* Brotli অথবা brotlicffi package ব্যবহারকারী Python client-গুলোর ক্ষেত্রে এগুলো uninstall করা, যাতে সিস্টেম gzip বা deflate-এর মতো নিরাপদ বিকল্পে ফিরে যেতে পারে।
—
## প্যাচ প্রকাশে বিলম্ব কেন?
– সমস্যার মূল কারণ upstream Brotli project-এ ২৭ ফেব্রুয়ারি, ২০২৬-এ ঠিক করা হলেও, ২১ অক্টোবর, ২০২৬-এর আগে কোনও stable Brotli release-এ সেই fix অন্তর্ভুক্ত হয়নি—ফলে ওই সময়সীমায় বহু সিস্টেম ঝুঁকির মধ্যে ছিল।
– fix-টি merge হয়ে Node.js এবং অন্যান্য environment-এ ব্যবহৃত Brotli package-এ পৌঁছানো পর্যন্ত vulnerability-টি অমীমাংসিত ছিল।
—
## প্রভাব
– Developers-দের জন্য এই vulnerability বহুল ব্যবহৃত runtime-এ bundled native module ব্যবহারের ঝুঁকিকে তুলে ধরে। কোনও core library-তে থাকা একটি মাত্র bug কোটি কোটি web server-এ প্রভাব ফেলতে পারে।
– Security operations-এর দৃষ্টিকোণ থেকে, এই ত্রুটি দেখায় যে compressed stream-এর invalid instruction-এর মতো edge case সঠিকভাবে পরিচালনা না করা হলে তা অত্যন্ত গুরুতর পরিণতি ডেকে আনতে পারে।
– ছোট-বড় সব প্রতিষ্ঠানের জন্যই দ্রুত পদক্ষেপ নেওয়া জরুরি: unpatched Node.js deployment উল্লেখযোগ্য ঝুঁকিতে রয়েছে।
—
## সংক্ষেপে
– OpenAI-এর Codex Security team Node.js-এ একটি critical bug আবিষ্কার করেছে, যা malformed Brotli compressed data-এর মাধ্যমে remote code execution-এর সুযোগ তৈরি করে।
– এই ত্রুটি—CVE-2026-111497, অথবা “Node2Shell”—মূল্যায়নকারী সংস্থার ওপর নির্ভর করে High থেকে Critical হিসেবে রেট করা হয়েছে।
– Malformed data Node.js-এর অভ্যন্তরীণ buffer overflow করিয়ে memory corruption ঘটাতে পারে।
– vulnerability-টি 22.23.4, 24.22.1 এবং 26.12.1 সংস্করণে fixed করা হয়েছে। অবিলম্বে patch ইনস্টল করা অথবা mitigation ব্যবস্থা কার্যকর করা জরুরি।
This article is AI-generated content. Please verify the information independently before taking any action based on this article.
