OpenAI Codex की सुरक्षा टीम ने Node.js में एक गंभीर खामी का खुलासा किया है, जो केवल संपीड़ित डेटा को प्रोसेस करने पर सर्वरों को रिमोट टेकओवर के जोखिम में डाल देती है। अब **Node2Shell** के नाम से पहचानी जाने वाली यह बग (**CVE-2026-111497**) आधिकारिक रूप से 21 अक्टूबर, 2026 को पैच की गई और Brotli compression का उपयोग करने वाले एप्लिकेशनों के लिए गंभीर खतरा पैदा करती है।
—
## समस्या क्या है?
– जब Node.js, `node:zlib` मॉड्यूल के माध्यम से Brotli-compressed इनपुट को डीकंप्रेस करता है, तो compressed stream के भीतर मौजूद invalid instruction को सही तरीके से हैंडल नहीं किया जाता। Error उत्पन्न करने के बजाय decoder अतिरिक्त डेटा की प्रतीक्षा करता रहता है।
– इस देरी के दौरान bytes एक आंतरिक eight-byte buffer में लगातार जाते रहते हैं। अंततः डेटा उस buffer से overflow होकर memory को corrupt कर देता है। इससे server crash, memory contents का unauthorized disclosure या remote code execution हो सकता है।
—
## खोज और रिपोर्ट करने वाले शोधकर्ता
– इस खामी की पहचान OpenAI की Codex Security team ने की। इस कमजोरी का पता लगाने का श्रेय researchers **Khai Tran** और **Sylvie Mayer** को दिया गया है।
– OpenAI ने बताया कि उसके AI agents ने internal sandbox-escape tests के दौरान स्वतंत्र रूप से Brotli decoder में इस vulnerability का पता लगाया।
—
## दायरा और गंभीरता
– Node.js ने आधिकारिक रूप से इस vulnerability को **High severity** के रूप में वर्गीकृत किया है।
– Google जैसे अतिरिक्त vendors ने CVSS 4.0 के तहत इसे **Critical** rating (CVSS 9.2) दी है। Red Hat ने इसे 8.1 के score के साथ “Important” के रूप में चिह्नित किया है।
—
## प्रभावित Software और Versions
– प्रभावित Node.js versions में **22.23.4**, **24.22.1** और **26.12.1** शामिल हैं। इन versions या इससे पुराने releases का उपयोग करने वाले users जोखिम में हैं।
– Brotli decoding पर निर्भर अन्य software भी प्रभावित हो सकते हैं — उदाहरण के लिए **Bun** और **Envoy**।
—
## Exploit कैसे काम करता है
– Attackers malicious Brotli data तैयार कर सकते हैं। यदि कोई Node.js server इस supplied data को (`node:zlib` के माध्यम से) decompress करता है, तो exploit memory corruption पैदा कर सकता है। इसके लिए prior authentication की आवश्यकता नहीं होती।
– Execution environment और data processing के तरीके के आधार पर, इसके परिणामस्वरूप crash, information leaks या arbitrary code execution हो सकता है।
—
## सुरक्षा और समाधान
– Node.js ने fixed versions जारी किए हैं। 22.23.4, 24.22.1 या 26.12.1 अथवा इससे पुराने versions चला रहे users को तुरंत upgrade करना चाहिए।
– Patch लागू होने तक, system administrators को untrusted Brotli input को decompress होने से रोकना चाहिए। इसके लिए:
* किसी proxy या parser द्वारा request को process करने से पहले `Content-Encoding: br` header वाली incoming requests को reject करें।
* HTTP clients में automatic Brotli decoding बंद करें और Brotli responses को पूरी तरह reject करें, खासकर untrusted sources से आने वाले responses को।
* Brotli या brotlicffi packages का उपयोग करने वाले Python clients के लिए, इन packages को uninstall करें ताकि system gzip या deflate जैसे अधिक सुरक्षित alternatives पर fallback कर सके।
—
## Patch जारी होने में देरी क्यों हुई?
– हालांकि root cause को Brotli project में 27 फरवरी, 2026 को upstream स्तर पर ठीक कर दिया गया था, लेकिन 21 अक्टूबर, 2026 तक किसी stable Brotli release में यह fix शामिल नहीं किया गया था — जिससे इस अवधि के दौरान कई systems exposed रहे।
– जब तक fix को Node.js और अन्य environments द्वारा उपयोग किए जाने वाले Brotli package में merge और propagate नहीं किया गया, तब तक vulnerability का समाधान नहीं हुआ।
—
## प्रभाव
– Developers के लिए यह vulnerability व्यापक रूप से उपयोग किए जाने वाले runtimes में bundled native modules के जोखिम को रेखांकित करती है। Core library में मौजूद एक bug लाखों web servers को प्रभावित कर सकता है।
– Security operations के दृष्टिकोण से, यह flaw दिखाता है कि compressed streams में invalid instructions जैसी edge case वाली स्थिति, सही तरीके से handle न किए जाने पर गंभीर परिणाम दे सकती है।
– बड़ी और छोटी, दोनों प्रकार की organizations के लिए तत्काल कार्रवाई आवश्यक है: unpatched Node.js deployments पर महत्वपूर्ण जोखिम बना हुआ है।
—
## संक्षेप में
– OpenAI की Codex Security team ने Node.js में एक critical bug की खोज की है, जो malformed Brotli compressed data के माध्यम से remote code execution की अनुमति देता है।
– यह flaw — CVE-2026-111497 या “Node2Shell” — evaluator के आधार पर High से Critical तक rated है।
– Malformed data Node.js में internal buffers को overflow कर सकता है, जिससे memory corruption हो सकती है।
– यह vulnerability versions 22.23.4, 24.22.1 और 26.12.1 में ठीक की गई है। तुरंत patch लागू करना या mitigation measures अपनाना आवश्यक है।
This article is AI-generated content. Please verify the information independently before taking any action based on this article.
