OpenAI Codex സുരക്ഷാ സംഘം Node.js-ൽ ഗുരുതരമായ ഒരു പിഴവ് കണ്ടെത്തിയതായി അറിയിച്ചു. കംപ്രസ് ചെയ്ത ഡാറ്റ കൈകാര്യം ചെയ്യുന്ന സമയത്ത് മാത്രം സെർവറുകൾ റിമോട്ട് കൈയേറ്റത്തിന് വിധേയമാകാൻ ഈ പിഴവ് ഇടയാക്കുന്നു. ഇപ്പോൾ **Node2Shell** എന്നറിയപ്പെടുന്ന ഈ ബഗ് (**CVE-2026-111497**) 2026 ഒക്ടോബർ 21-ന് ഔദ്യോഗികമായി പരിഹരിക്കപ്പെട്ടു. Brotli കംപ്രഷൻ ഉപയോഗിക്കുന്ന ആപ്ലിക്കേഷനുകൾക്ക് ഇത് ഗുരുതര ഭീഷണിയാണ്.
—
## പ്രശ്നം എന്താണ്?
– `node:zlib` മോഡ്യൂൾ വഴി Node.js Brotli-കംപ്രസ് ചെയ്ത ഇൻപുട്ട് ഡീകംപ്രസ് ചെയ്യുമ്പോൾ, കംപ്രസ് ചെയ്ത സ്ട്രീമിനുള്ളിലെ അസാധുവായ നിർദ്ദേശം ശരിയായി കൈകാര്യം ചെയ്യപ്പെടുന്നില്ല. പിശക് ഉണ്ടെന്ന് കാണിക്കുന്നതിനുപകരം, ഡീകോഡർ അധിക ഡാറ്റയ്ക്കായി കാത്ത് തുടരുന്നു.
– ഈ വൈകലിനിടെ ബൈറ്റുകൾ ആന്തരികമായ എട്ട്-ബൈറ്റ് ബഫറിലേക്ക് ഒഴുകിക്കൊണ്ടിരിക്കും. ഒടുവിൽ ഡാറ്റ ആ ബഫറിന്റെ പരിധി കവിയുകയും മെമ്മറി കേടുപാടുകൾ ഉണ്ടാകുകയും ചെയ്യും. ഇതിലൂടെ സെർവർ ക്രാഷുകൾ, മെമ്മറിയിലെ വിവരങ്ങളുടെ അനധികൃത ചോർച്ച, അല്ലെങ്കിൽ റിമോട്ട് കോഡ് എക്സിക്യൂഷൻ സംഭവിക്കാം.
—
## കണ്ടെത്തലും റിപ്പോർട്ട് ചെയ്തവരും
– OpenAI-യുടെ Codex Security ടീമാണ് ഈ പിഴവ് കണ്ടെത്തിയത്. ഗവേഷകരായ **Khai Tran**, **Sylvie Mayer** എന്നിവർ ഈ ദൗർബല്യം കണ്ടെത്തിയതിന് ക്രെഡിറ്റ് ലഭിച്ചു.
– ആന്തരിക സാൻഡ്‌ബോക്സ്-എസ്കേപ്പ് പരീക്ഷണങ്ങൾക്കിടെ പ്രവർത്തിച്ചിരുന്ന OpenAI-യുടെ AI ഏജന്റുകളാണ് Brotli ഡീകോഡറിലെ ഈ ദൗർബല്യം സ്വതന്ത്രമായി കണ്ടെത്തിയതെന്ന് OpenAI അറിയിച്ചു.
—
## വ്യാപ്തിയും ഗുരുതരതയും
– Node.js ഈ ദൗർബല്യത്തെ ഔദ്യോഗികമായി **High severity** ആയി വർഗീകരിച്ചു.
– Google ഉൾപ്പെടെയുള്ള മറ്റ് വെൻഡർമാർ CVSS 4.0 പ്രകാരം ഇതിന് **Critical** റേറ്റിംഗും (CVSS 9.2) നൽകി. Red Hat ഇത് “Important” എന്ന് അടയാളപ്പെടുത്തി, 8.1 സ്കോർ നൽകി.
—
## ബാധിച്ച സോഫ്റ്റ്‌വെയറും പതിപ്പുകളും
– ബാധിക്കപ്പെട്ട Node.js പതിപ്പുകളിൽ **22.23.4**, **24.22.1**, **26.12.1** എന്നിവ ഉൾപ്പെടുന്നു. ഈ പതിപ്പുകളോ അതിന് മുമ്പുള്ള റിലീസുകളോ ഉപയോഗിക്കുന്നവർ അപകടസാധ്യതയിലുണ്ട്.
– Brotli ഡീകോഡിംഗിനെ ആശ്രയിക്കുന്ന മറ്റ് സോഫ്റ്റ്‌വെയറുകളും ബാധിക്കപ്പെട്ടേക്കാം — ഉദാഹരണത്തിന് **Bun**, **Envoy** എന്നിവ.
—
## എക്സ്പ്ലോയിറ്റ് എങ്ങനെ പ്രവർത്തിക്കുന്നു?
– ആക്രമണകാരികൾക്ക് ദോഷകരമായി തയ്യാറാക്കിയ Brotli ഡാറ്റ സൃഷ്ടിക്കാനാകും. Node.js സെർവർ ഈ ഉപയോക്താവ് നൽകിയ ഡാറ്റ (`node:zlib` വഴി) ഡീകംപ്രസ് ചെയ്യുമ്പോൾ, എക്സ്പ്ലോയിറ്റിന് മെമ്മറി കേടാക്കാൻ കഴിയും. മുൻകൂർ ഓതന്റിക്കേഷൻ ആവശ്യമില്ല.
– എക്സിക്യൂഷൻ പരിസ്ഥിതിയും ഡാറ്റ പ്രോസസ്സ് ചെയ്യുന്ന രീതിയും അനുസരിച്ച്, ഇതിന്റെ ഫലമായി ക്രാഷ്, വിവര ചോർച്ച, അല്ലെങ്കിൽ ഇഷ്ടാനുസൃത കോഡ് എക്സിക്യൂഷൻ എന്നിവ സംഭവിക്കാം.
—
## സംരക്ഷണവും പരിഹാര നടപടികളും
– Node.js പരിഹരിച്ച പതിപ്പുകൾ പുറത്തിറക്കിയിട്ടുണ്ട്. 22.23.4, 24.22.1, അല്ലെങ്കിൽ 26.12.1 അതിനുമുമ്പുള്ള പതിപ്പുകൾ ഉപയോഗിക്കുന്നവർ ഉടൻ അപ്ഗ്രേഡ് ചെയ്യണം.
– പാച്ച് പ്രയോഗിക്കുന്നതുവരെ, വിശ്വസനീയമല്ലാത്ത Brotli ഇൻപുട്ട് ഡീകംപ്രസ് ചെയ്യുന്നത് സിസ്റ്റം അഡ്മിനിസ്ട്രേറ്റർമാർ തടയണം. അതിനായി:
* ഏതെങ്കിലും പ്രോക്സിയോ പാർസറോ പ്രവർത്തിക്കുന്നതിന് മുമ്പ് `Content-Encoding: br` ഹെഡർ ഉള്ള ഇൻകമിംഗ് അഭ്യർത്ഥനകൾ നിരസിക്കുക.
* HTTP ക്ലയന്റുകളിലെ ഓട്ടോമാറ്റിക് Brotli ഡീകോഡിംഗ് ഓഫ് ചെയ്യുകയും, പ്രത്യേകിച്ച് വിശ്വസനീയമല്ലാത്ത ഉറവിടങ്ങളിൽ നിന്നുള്ള Brotli പ്രതികരണങ്ങൾ പൂർണമായും നിരസിക്കുകയും ചെയ്യുക.
* Brotli അല്ലെങ്കിൽ brotlicffi പാക്കേജുകൾ ഉപയോഗിക്കുന്ന Python ക്ലയന്റുകൾ അവ അൺഇൻസ്റ്റാൾ ചെയ്യണം. ഇതിലൂടെ സിസ്റ്റം gzip അല്ലെങ്കിൽ deflate പോലുള്ള കൂടുതൽ സുരക്ഷിതമായ മറ്റ് മാർഗങ്ങളിലേക്ക് തിരിച്ചുപോകും.
—
## പാച്ച് പുറത്തിറങ്ങുന്നതിൽ വൈകിയത് എന്തുകൊണ്ട്?
– പ്രശ്നത്തിന്റെ മൂലകാരണം Brotli പ്രോജക്റ്റിൽ 2026 ഫെബ്രുവരി 27-ന് പരിഹരിച്ചിരുന്നെങ്കിലും, ആ പരിഹാരം ഉൾപ്പെടുത്തിയ സ്ഥിരതയുള്ള Brotli റിലീസ് 2026 ഒക്ടോബർ 21 വരെ പുറത്തിറങ്ങിയില്ല. ഇതുമൂലം ആ ഇടവേളയിൽ നിരവധി സിസ്റ്റങ്ങൾ അപകടസാധ്യതയിൽ തുടരുകയായിരുന്നു.
– Node.js-ലും മറ്റ് പരിസ്ഥിതികളിലും ഉപയോഗിക്കുന്ന Brotli പാക്കേജിലേക്ക് പരിഹാരം ലയിപ്പിച്ച് വ്യാപകമായി ലഭ്യമാകുന്നതുവരെ, ദൗർബല്യം പരിഹരിക്കപ്പെടാതെ തുടർന്നു.
—
## പ്രത്യാഘാതങ്ങൾ
– ഡെവലപ്പർമാർക്ക്, വ്യാപകമായി ഉപയോഗിക്കുന്ന റൺടൈമുകളിൽ ഉൾപ്പെടുത്തിയിരിക്കുന്ന നേറ്റീവ് മോഡ്യൂളുകളുടെ അപകടസാധ്യതകളെക്കുറിച്ച് ഈ ദൗർബല്യം മുന്നറിയിപ്പ് നൽകുന്നു. ഒരു കോർ ലൈബ്രറിയിലെ ഒറ്റ ബഗിന് കോടിക്കണക്കിന് വെബ് സെർവറുകളെ ബാധിക്കാനാകും.
– സുരക്ഷാ പ്രവർത്തനങ്ങളുടെ കാഴ്ചപ്പാടിൽ, കംപ്രസ് ചെയ്ത സ്ട്രീമുകളിലെ അസാധുവായ നിർദ്ദേശങ്ങൾ പോലുള്ള അപൂർവ സാഹചര്യങ്ങൾ ശരിയായി കൈകാര്യം ചെയ്യാത്തപ്പോൾ അതീവ ഗുരുതരമായ പ്രത്യാഘാതങ്ങളിലേക്ക് നയിക്കാമെന്ന് ഈ പിഴവ് വ്യക്തമാക്കുന്നു.
– വലുതും ചെറുതുമായ സ്ഥാപനങ്ങൾ അടിയന്തര നടപടി സ്വീകരിക്കണം: പാച്ച് ചെയ്യാത്ത Node.js വിന്യാസങ്ങൾ ഗണ്യമായ അപകടസാധ്യതയിലാണ്.
—
## ചുരുക്കത്തിൽ
– OpenAI-യുടെ Codex Security സംഘം Node.js-ൽ ഗുരുതരമായ ഒരു ബഗ് കണ്ടെത്തി. തെറ്റായ രീതിയിൽ തയ്യാറാക്കിയ Brotli കംപ്രസ് ചെയ്ത ഡാറ്റയിലൂടെ റിമോട്ട് കോഡ് എക്സിക്യൂഷൻ സാധ്യമാക്കുന്നതാണ് ഈ ബഗ്.
– **CVE-2026-111497**, അഥവാ “Node2Shell”, വിലയിരുത്തുന്ന സ്ഥാപനത്തെ ആശ്രയിച്ച് High മുതൽ Critical വരെയുള്ള റേറ്റിംഗ് നേടിയിട്ടുണ്ട്.
– തെറ്റായ രീതിയിൽ തയ്യാറാക്കിയ ഡാറ്റ Node.js-ലെ ആന്തരിക ബഫറുകൾ ഓവർഫ്ലോ ചെയ്യാൻ ഇടയാക്കുകയും മെമ്മറി കേടുപാടുകൾക്ക് കാരണമാകുകയും ചെയ്യും.
– 22.23.4, 24.22.1, 26.12.1 പതിപ്പുകളിൽ ഈ ദൗർബല്യം പരിഹരിച്ചിട്ടുണ്ട്. ഉടൻ പാച്ച് പ്രയോഗിക്കുകയോ പ്രതിരോധ നടപടികൾ നടപ്പാക്കുകയോ ചെയ്യേണ്ടത് അനിവാര്യമാണ്.
This article is AI-generated content. Please verify the information independently before taking any action based on this article.
