OpenAI భద్రతా బృందం కీలక Node.js లోపాన్ని గుర్తించింది: కంప్రెస్ చేసిన డేటా సర్వర్‌ను స్వాధీనం చేసుకోగలదు

OpenAI Codex security బృందం Node.jsలోని ఒక తీవ్రమైన లోపాన్ని వెల్లడించింది. కంప్రెస్ చేసిన డేటాను ప్రాసెస్ చేసే సమయంలోనే ఈ లోపం సర్వర్లను రిమోట్‌గా స్వాధీనం చేసుకునేలా చేస్తుంది. ప్రస్తుతం **Node2Shell**గా పిలువబడుతున్న ఈ బగ్‌ ( **CVE-2026-111497** )కు అధికారికంగా అక్టోబర్ 21, 2026న ప్యాచ్ విడుదలైంది. Brotli కంప్రెషన్‌ను ఉపయోగించే అప్లికేషన్లకు ఇది తీవ్రమైన ముప్పును కలిగిస్తుంది.

—

## సమస్య ఏమిటి?

– Node.js, `node:zlib` మాడ్యూల్‌ ద్వారా Brotli-కంప్రెస్ చేసిన ఇన్‌పుట్‌ను డీకంప్రెస్ చేస్తున్నప్పుడు, కంప్రెస్ చేసిన స్ట్రీమ్‌లోని చెల్లని ఇన్‌స్ట్రక్షన్‌ను సరిగ్గా నిర్వహించదు. ఎర్రర్‌ను చూపించాల్సిన బదులు, డీకోడర్ అదనపు డేటా కోసం వేచి ఉంటుంది.
– ఈ ఆలస్యం సమయంలో బైట్లు అంతర్గతంగా ఉన్న ఎనిమిది-బైట్ బఫర్‌లోకి వరుసగా చేరుతుంటాయి. చివరకు డేటా ఆ బఫర్ సామర్థ్యాన్ని మించి మెమరీని దెబ్బతీస్తుంది. దీని వల్ల సర్వర్లు క్రాష్ కావడం, మెమరీలోని సమాచారాన్ని అనధికారికంగా బహిర్గతం చేయడం లేదా రిమోట్ కోడ్ ఎగ్జిక్యూషన్ జరగడం సాధ్యమవుతుంది.

—

## కనుగొన్నవారు & నివేదించిన బృందం

– ఈ లోపాన్ని OpenAI Codex Security బృందం గుర్తించింది. ఈ బలహీనతను వెలికితీసిన పరిశోధకులుగా **Khai Tran** మరియు **Sylvie Mayer** పేర్లు నమోదు చేయబడ్డాయి.
– అంతర్గత sandbox-escape పరీక్షల సమయంలో పనిచేస్తున్న OpenAI AI ఏజెంట్లు Brotli డీకోడర్‌లోని ఈ బలహీనతను స్వతంత్రంగా గుర్తించాయని OpenAI తెలిపింది.

—

## ప్రభావ పరిధి & తీవ్రత

– Node.js ఈ బలహీనతను అధికారికంగా **High severity**గా వర్గీకరించింది.
– Google వంటి అదనపు విక్రేతలు CVSS 4.0 కింద దీనికి **Critical** రేటింగ్‌ (CVSS 9.2) ఇచ్చారు. Red Hat దీనిని 8.1 స్కోర్‌తో “Important”గా పేర్కొంది.

—

## ప్రభావిత సాఫ్ట్‌వేర్ & వెర్షన్లు

– ప్రభావితమైన Node.js వెర్షన్లలో **22.23.4**, **24.22.1**, మరియు **26.12.1** ఉన్నాయి. ఈ వెర్షన్లు లేదా అంతకుముందు విడుదలలను ఉపయోగిస్తున్న వారు ప్రమాదంలో ఉన్నారు.
– Brotli డీకోడింగ్‌పై ఆధారపడే ఇతర సాఫ్ట్‌వేర్‌లు కూడా ప్రభావితమయ్యే అవకాశం ఉంది — ఉదాహరణకు **Bun** మరియు **Envoy**.

—

## ఎక్స్‌ప్లాయిట్ ఎలా పనిచేస్తుంది?

– దాడి చేసేవారు హానికరమైన Brotli డేటాను రూపొందించవచ్చు. Node.js సర్వర్ ఈ సరఫరా చేసిన డేటాను (`node:zlib` ద్వారా) డీకంప్రెస్ చేస్తే, ఎక్స్‌ప్లాయిట్ మెమరీని దెబ్బతీయగలదు. దీనికి ముందస్తు ఆథెంటికేషన్ అవసరం లేదు.
– అమలు వాతావరణం మరియు డేటాను ప్రాసెస్ చేసే విధానంపై ఆధారపడి, దీని ఫలితంగా క్రాష్, సమాచార లీక్‌లు లేదా యాదృచ్ఛిక కోడ్ అమలు వంటి సమస్యలు ఏర్పడవచ్చు.

—

## రక్షణ & పరిష్కారం

– Node.js పరిష్కారాలతో కూడిన వెర్షన్లను విడుదల చేసింది. 22.23.4, 24.22.1 లేదా 26.12.1 లేదా అంతకంటే పాత వెర్షన్లను ఉపయోగిస్తున్న వారు వెంటనే అప్‌గ్రేడ్ చేయాలి.
– ప్యాచ్ అమలు చేసే వరకు, సిస్టమ్ అడ్మినిస్ట్రేటర్లు నమ్మకంలేని Brotli ఇన్‌పుట్‌ను డీకంప్రెస్ చేయకుండా నిరోధించాలి. అందుకు:
* ఏదైనా ప్రాక్సీ లేదా పార్సర్ పని చేయకముందే `Content-Encoding: br` హెడర్‌తో వచ్చే ఇన్‌కమింగ్ రిక్వెస్ట్‌లను తిరస్కరించాలి.
* HTTP క్లయింట్లలో ఆటోమేటిక్ Brotli డీకోడింగ్‌ను నిలిపివేయాలి. ముఖ్యంగా నమ్మకంలేని మూలాల నుంచి వచ్చే Brotli రెస్పాన్స్‌లను పూర్తిగా తిరస్కరించాలి.
* Brotli లేదా brotlicffi ప్యాకేజీలను ఉపయోగించే Python క్లయింట్లు వాటిని అన్‌ఇన్‌స్టాల్ చేయాలి. దీంతో సిస్టమ్ gzip లేదా deflate వంటి మరింత సురక్షితమైన ప్రత్యామ్నాయాలకు మారుతుంది.

—

## ప్యాచ్ విడుదలలో ఆలస్యం ఎందుకు జరిగింది?

– ఈ సమస్యకు మూల కారణం Brotli ప్రాజెక్ట్‌లో **ఫిబ్రవరి 27, 2026**న పరిష్కరించబడినప్పటికీ, ఆ పరిష్కారాన్ని కలిగి ఉన్న స్థిరమైన Brotli విడుదల అక్టోబర్ 21, 2026 వరకు అందుబాటులోకి రాలేదు. దీంతో ఆ వ్యవధిలో అనేక సిస్టమ్‌లు ప్రమాదంలోనే ఉన్నాయి.
– ఈ పరిష్కారం విలీనం అయి, Node.js మరియు ఇతర వాతావరణాలు ఉపయోగించే Brotli ప్యాకేజీలోకి చేరే వరకు, ఈ బలహీనతకు పరిష్కారం అందలేదు.

—

## ప్రభావాలు

– డెవలపర్లకు, విస్తృతంగా ఉపయోగించే రన్‌టైమ్‌లలో బండిల్ చేసిన నేటివ్ మాడ్యూల్స్ వల్ల కలిగే ప్రమాదాలను ఈ బలహీనత స్పష్టంగా చూపిస్తుంది. ఒక కోర్ లైబ్రరీలోని చిన్న లోపం లక్షలాది వెబ్ సర్వర్లపై ప్రభావం చూపవచ్చు.
– సెక్యూరిటీ ఆపరేషన్స్ దృష్ట్యా, కంప్రెస్ చేసిన స్ట్రీమ్‌లలోని చెల్లని ఇన్‌స్ట్రక్షన్ల వంటి అరుదైన పరిస్థితులను సరిగ్గా నిర్వహించకపోతే అవి ఎంత తీవ్రమైన పరిణామాలకు దారితీయవచ్చో ఈ లోపం తెలియజేస్తుంది.
– చిన్నా, పెద్దా సంస్థలు అత్యవసర చర్యలు తీసుకోవాలి: ప్యాచ్ చేయని Node.js డిప్లాయ్‌మెంట్‌లు గణనీయమైన ప్రమాదంలో ఉన్నాయి.

—

## సంక్షిప్తంగా

– OpenAI Codex Security బృందం Node.jsలోని ఒక కీలక బగ్‌ను గుర్తించింది. తప్పుగా రూపొందించిన Brotli కంప్రెస్ చేసిన డేటా ద్వారా రిమోట్ కోడ్ ఎగ్జిక్యూషన్‌కు ఇది అవకాశం కల్పిస్తుంది.
– **CVE-2026-111497**, లేదా “Node2Shell”గా పిలువబడే ఈ లోపానికి, మూల్యాంకనం చేసే సంస్థను బట్టి High నుంచి Critical వరకు రేటింగ్‌ లభించింది.
– తప్పుగా రూపొందించిన డేటా Node.jsలోని అంతర్గత బఫర్‌లను ఓవర్‌ఫ్లో చేయించి మెమరీ కరప్షన్‌కు దారితీయవచ్చు.
– ఈ బలహీనత 22.23.4, 24.22.1, మరియు 26.12.1 వెర్షన్లలో పరిష్కరించబడింది. వెంటనే ప్యాచ్ అమలు చేయడం లేదా నివారణ చర్యలు తీసుకోవడం అత్యవసరం.

This article is AI-generated content. Please verify the information independently before taking any action based on this article.