CVE-2026-111497 के खिलाफ प्रणालियों को सुरक्षित करना: Node.js और Python में Brotli दुर्बलता को समझना

2026/10/26 18:11:00

परिचय

सुरक्षा शोधकर्ताओं ने एक गंभीर मेमोरी-कॉरप्शन दोष का खुलासा किया, जिसे CVE-2026-111497 के रूप में ट्रैक किया जाता है, जिसे व्यापक रूप से "Node2Shell" कहा जाता है, जो Google के Brotli संपीड़न डिकोडर को प्रभावित करता है। अक्टूबर 2026 में Qualys और Imperva टीमों द्वारा किए गए खतरे की जानकारी के खुलासे के अनुसार, यह आउट-ऑफ-बाउंड्स लिखने की कमी मुख्य सॉफ्टवेयर परितंत्र, जिसमें Node.js, Bun, Python Brotli पैकेज और Envoy प्रॉक्सी शामिल हैं, को प्रभावित करती है। CVSS 4.0 के 9.2 के गंभीर ग्रेड स्कोर के साथ, यह दोष पृष्ठभूमि सेवाओं को रिमोट कोड निष्पादन (RCE) के लिए प्रभावित करता है यदि वे अविश्वसनीय संपीड़ित डेटा स्ट्रीम्स को अनसैक करते हैं।

CVE-2026-111497 क्या है और Brotli दोष कैसे काम करता है?

CVE-2026-111497 एक बाहरी-सीमा लिखने की कमजोरी है जो Google की C-आधारित Brotli डीकंप्रेशन लाइब्रेरी में जड़ी हुई है। सॉफ्टवेयर सुरक्षा विश्लेषकों द्वारा प्रकाशित तकनीकी विवरणों के अनुसार, यह कमजोरी डिकोडिंग लूप में एक अजांचित रिटर्न मान से उत्पन्न होती है, जिससे एक विशेष रूप से बनाई गई संपीड़ित डेटा स्ट्रीम आवंटित हीप बफर के अंत के पार मेमोरी को ओवरराइट कर सकती है।

चूंकि Node.js और विभिन्न Python पैकेज जैसे रनटाइम वातावरण अपनी स्वतंत्र प्रतियाँ Brotli डिकोडर कोड को स्थैतिक रूप से वेंडर या संकलित करते हैं, इसलिए मूल C लाइब्रेरी में एक दोष इसे पुनः उपयोग करने वाली किसी भी एप्लिकेशन लेयर में नीचे की ओर प्रसारित हो जाता है। जब कोई एप्लिकेशन दुष्ट इनपुट—जैसे HTTP प्रतिक्रिया या Brotli प्रारूप के साथ संपीड़ित अपलोड किए गए फाइल पेलोड—को प्रोसेस करता है, तो डिकोडिंग प्रक्रिया मेमोरी करप्शन को ट्रिगर करती है। Imperva सुरक्षा शोधकर्ताओं के अनुसार, यह मेमोरी करप्शन एप्लिकेशन क्रैश, मेमोरी लीक, या चल रही प्रक्रिया के अधिकारों के तहत पूर्ण रिमोट कोड निष्पादन का कारण बन सकता है।

कौन से सॉफ्टवेयर रनटाइम और परितंत्र प्रभावित हैं?

इस वुल्नरेबिलिटी का प्रभाव किसी भी सॉफ्टवेयर उत्पाद या रनटाइम एनवायरनमेंट पर पड़ता है जो Google की Brotli लाइब्रेरी के अपडेट न किए गए संस्करणों (1.0.3 से 1.0.9, 1.1.0 और 1.2) को बंडल करता है या उसके साथ लिंक करता है। IT सुरक्षा कंपनियों द्वारा प्रकाशित वुल्नरेबिलिटी ट्रैकिंग अलर्ट्स के अनुसार, प्रभावित परितंत्र कई भाषाओं और इंफ्रास्ट्रक्चर टूल्स को शामिल करते हैं:

Node.js: कोर रनटाइम अपनी अपनी प्रतिलिपि deps/brotli के अंतर्गत Brotli डिकोडर शामिल करता है। समर्थित रिलीज लाइनें 22.x, 24.x और 26.x को आपातकालीन पैचिंग से पहले उपलब्ध कराया गया था।
पायथन पैकेज: स्टैंडर्ड पायथन वैपर पैकेज, जिनमें brotli और brotlicffi शामिल हैं, ठीक उसी नीचले C-कोड के दोष को विरासत में प्राप्त करते हैं।
वैकल्पिक रनटाइम और प्रॉक्सी: बन, सर्विस मेश और एंवॉय और इस्टियो जैसे API गेटवे जो आने वाली संपीड़ित ट्रैफिक को संभालते हैं, वे भी समान रूप से सुभेद्य हैं।

चूंकि दुर्बलता उच्च-स्तरीय पैकेज निर्भरताओं के बजाय कोर रनटाइम बाइनरीज़ के अंदर मौजूद है, इसलिए मानक एप्लिकेशन निर्भरता स्कैनर अक्सर स्वचालित रूप से इस उजागर को प्रकट नहीं कर पाते।

नोड.js और पायथन एप्लिकेशन के लिए वास्तविक दुनिया के जोखिम क्या हैं?

बाहरी नेटवर्क ट्रैफिक को प्रोसेस करने वाली अपचित सेवाएँ डीनाइल-ऑफ-सर्विस (DoS) की स्थिति से लेकर पूर्ण सिस्टम दुरुपयोग तक के तत्काल जोखिमों का सामना करती हैं। क्लाउड सुरक्षा प्रदाताओं द्वारा किए गए घटना विश्लेषण के अनुसार, प्रमुख हमले के माध्यम हैं:

सर्वर-ओर इनजेक्शन: बैकएंड API जो संपीड़ित फ़ाइल अपलोड स्वीकार करते हैं या HTTP क्लाइंट मॉड्यूल जो मूल fetch फ़ंक्शन निष्पादित करते हैं जो दुष्ट सर्वर प्रतिक्रियाओं को अनपैक करते हैं।
क्लाइंट-साइड एक्सपोजर: वेब एप्लिकेशन या माइक्रोसर्विसेज जो अविश्वसनीय बाहरी एंडपॉइंट्स से डेटा प्राप्त करते हैं और आने वाले Brotli पेलोड को स्वचालित रूप से डीकंप्रेस करते हैं।

यदि सफलतापूर्वक दुरुपयोग किया जाए, तो हमलावर क्लाउड वर्कलोड या कंटेनराइज़्ड इंस्टेंस पर अनाधिकृत दूरस्थ कोड निष्पादन प्राप्त कर सकते हैं, जिससे आंतरिक सेवा मेश के माध्यम से क्षैतिज गतिविधि और डेटा निकास हो सकता है।

डेवलपर्स CVE-2026-111497 को पैच और कम कैसे कर सकते हैं?

प्रभावित सॉफ्टवेयर रनटाइम्स को उनके संबंधित पैच किए गए संस्करणों में अपग्रेड करना एकमात्र पूर्ण और स्थायी उपचार है, क्योंकि आधिकारिक कॉन्फ़िगरेशन वर्कअराउंड उपलब्ध नहीं हैं। 21 अक्टूबर, 2026 को जारी आधिकारिक सुरक्षा सलाहों के अनुसार, डेवलपर्स और सिस्टम प्रशासकों को निम्नलिखित तुरंत कदम उठाने चाहिए:

Node.js रनटाइम्स को अपडेट करें: Node.js स्थापनाओं को सुरक्षा अपडेट रिलीज़: संस्करण 22.23.4, 24.22.1 या 26.12.1 पर अपग्रेड करें। अंतिम जीवन (EOL) संस्करणों (जैसे Node.js 20.x या अपचित कस्टम लाइन्स) को तुरंत अपग्रेड करें, क्योंकि उन्हें कोई आधिकारिक बैकपोर्टेड पैच नहीं मिलेगा।
पायथन पैकेजेस को अपग्रेड करें: ब्रोटली संपीड़न से संबंधित सभी पायथन निर्भरताओं को पैकेज प्रबंधकों के माध्यम से उनके नवीनतम सुरक्षित संस्करणों पर अपडेट करें।
इंफ्रास्ट्रक्चर एसेट्स स्कैन करें: रनटाइम स्कैनिंग टूल्स (जैसे कि Qualys InstaScan) को डिप्लॉय करें ताकि मानक पथों के बाहर छिपे हुए वल्नरेबल Brotli डिकोडर्स के बाइनरी कॉपीज की जांच की जा सके।

निष्कर्ष

CVE-2026-111497 ("Node2Shell") की खोज आधुनिक क्लाउड आर्किटेक्चर में गहराई से एम्बेडेड यूटिलिटी लाइब्रेरीज़ द्वारा उत्पन्न प्रणालीगत जोखिमों को उजागर करती है। चूंकि Google का Brotli डीकंप्रेशन एल्गोरिथम कई भाषा रनटाइम और प्रॉक्सी में स्टैटिकली कंपाइल किया जाता है, इसलिए एकल मेमोरी-कॉरप्शन दोष Node.js, Python और वैकल्पिक वेब इंफ्रास्ट्रक्चर के व्यापक स्तर पर प्रभाव डाल सकता है। सुरक्षा टीमों को सरल निर्भरता प्रबंधन के बाहर बढ़कर मूल बाइनरी संस्करणों की सक्रिय समीक्षा करनी, रनटाइम अपडेट्स का ट्रैकिंग करनी, और संभावित रिमोट कोड निष्पादन हमलों को रोकने के लिए तुरंत वुल्नरेबल परिवेशों को पैच करना चाहिए। बढ़ते हुए सप्लाई-चेन खतरों के खिलाफ सक्रिय संपत्ति दृश्यता और त्वरित पैच प्रसारण ही सबसे प्रभावी प्रतिरक्षा हैं।

अक्सर पूछे जाने वाले प्रश्न

CVE-2026-111497 क्या है?

CVE-2026-111497 एक आधिकारिक सामान्य वुल्नरेबिलिटीज और एक्सपोजर्स पहचानकर्ता है, जो Google की Brotli डीकंप्रेशन C लाइब्रेरी में स्थित एक गंभीर आउट-ऑफ-बाउंड्स राइट वुल्नरेबिलिटी को निर्दिष्ट करता है।

वह दुर्बलता "Node2Shell" क्यों कहलाती है?

इम्पर्वा के सुरक्षा शोधकर्ताओं ने इस दुर्बलता को "Node2Shell" कहा क्योंकि उनके प्रारंभिक सफल प्रूफ-ऑफ-कॉन्सेप्ट दुरुपयोग ने अपडेट न किए गए Node.js रनटाइम वातावरणों के खिलाफ दूरस्थ कोड निष्पादन को दर्शाया।

क्या मानक npm पैकेज ऑडिट इस दोष को पहचानते हैं?

नहीं, मानक npm निर्भरता जांचकर्ता CVE-2026-111497 का पता नहीं लगा सकते क्योंकि दुर्बलता deps/brotli में सम्मिलित किए गए Node.js बाइनरी कोड के भीतर स्थित है, बल्कि एक बाहरी उपयोगकर्ता-स्थल पैकेज के रूप में नहीं।

क्या Node.js के सभी संस्करण CVE-2026-111497 के प्रभाव के अधीन हैं?

नहीं, केवल विशिष्ट रिलीज लाइनों को प्रभावित किया गया था, और ठीक करने के लिए केवल समर्थित संस्करणों के लिए ही उपलब्धता है। Node.js ने संस्करण 22.23.4, 24.22.1 और 26.12.1 में दोष को ठीक कर दिया है, जिससे पुराने अंतिम जीवन समाप्त संस्करण स्थायी रूप से खुले रह गए हैं, जब तक कि उन्हें अपग्रेड न किया जाए।

ब्रोटली दुर्भावनापूर्णता का CVSS गंभीरता स्कोर क्या है?

गूगल और प्रमुख वल्नरेबिलिटी मैनेजमेंट प्लेटफॉर्म्स ने CVE-2026-111497 को 10.0 में से 9.2 का क्रिटिकल CVSS 4.0 स्कोर दिया है, क्योंकि इसकी अनऑथेंटिकेटेड रिमोट कोड एक्जीक्यूशन की संभावना है।

यह सामान्य बाजार सूचना, जो संभवतः तीसरे पक्ष, वाणिज्यिक या प्रायोजित स्रोतों से आई है, केवल संदर्भ और शैक्षिक उद्देश्यों के लिए प्रदान की गई है और यह वित्तीय या निवेश सलाह, एक ऑफर, आमंत्रण या गारंटी नहीं है। हम इसकी सटीकता, पूर्णता, विश्वसनीयता और किसी भी परिणामस्वरूप हुए नुकसान के लिए जिम्मेदारी से मुक्त हैं। निवेश/व्यापार जोखिम भरा है; अतीत का प्रदर्शन भविष्य के परिणामों की गारंटी नहीं देता। उपयोगकर्ताओं को अनुसंधान करना चाहिए, सावधानी से निर्णय लेना चाहिए और पूरी जिम्मेदारी लेनी चाहिए। अधिक विवरण के लिए, कृपया KuCoin के उपयोग के नियम और जोखिम अवगति को संदर्भित करें।

डिस्क्लेमर: इस पेज का भाषांतर आपकी सुविधा के लिए AI तकनीक का इस्तेमाल करके किया गया है। सबसे सटीक जानकारी के लिए, मूल अंग्रेजी वर्जन देखें।