CVE-2026-111497 کے خلاف سسٹمز کو محفوظ رکھنا: Node.js اور Python میں Brotli کی کمزوری کو سمجھنا

2026/10/26 18:11:00

تعارف

سیکیورٹی ریسرچرز نے ایک اہم میموری کرپشن کی خامی کا انکشاف کیا جسے CVE-2026-111497 کے طور پر ٹریک کیا جاتا ہے، جسے عام طور پر "Node2Shell" کہا جاتا ہے، جو گوگل کے Brotli کمپریشن ڈیکوڈر کو متاثر کرتی ہے۔ اکتوبر 2026 میں Qualys اور Imperva ٹیموں کے خطرہ انٹیلیجنس کے انکشافات کے مطابق، یہ آؤٹ آف باؤنڈز لکھنے کی کمزوری بڑے سافٹ ویئر ایکو سسٹم، جن میں Node.js، Bun، Python Brotli پیکجز، اور Envoy پروکسیز شامل ہیں، کو متاثر کرتی ہے۔ CVSS 4.0 کے ساتھ 9.2 کے اہم شدت اسکور کے ساتھ، یہ خامی باک اینڈ سروسز کو ریموٹ کوڈ اجرا (RCE) کے لیے مستعد کردیتی ہے اگر وہ غیر قابلِ اعتماد کمپریسڈ ڈیٹا اسٹریمز کو اناپک کرتے ہیں۔

CVE-2026-111497 کیا ہے اور بروٹلی کی خامی کیسے کام کرتی ہے؟

CVE-2026-111497 ایک آؤٹ آف باؤنڈز لکھنے کی کمزوری ہے جو گوگل کی C-base Brotli ڈیکمپریشن لائبریری میں جڑی ہوئی ہے۔ نرم افزار سیکیورٹی تجزیہ کاروں کے ذریعہ شائع کردہ تکنیکی تحریروں کے مطابق، یہ کمزوری ڈیکوڈنگ لوپ میں ایک غیر چیک شدہ ریٹرن ویلیو سے نکلتی ہے، جس سے ایک خاص طور پر تیار کیا گیا کمپریسڈ ڈیٹا اسٹریم مختص ہیپ بفر کے آخر سے آگے میموری کو اووررائٹ کر سکتا ہے۔

چونکہ Node.js جیسے رن ٹائم ماحول اور مختلف پائیتھن پیکیجز اپنے خود کے مستقل نسخے Brotli ڈیکوڈر کوڈ کو اسٹیٹک طور پر وینڈر یا کمپائل کرتے ہیں، اس لیے مرکزی C لائبریری میں خرابی نیچے کی طرف کسی بھی ایپلیکیشن لیئر میں پھیل جاتی ہے جو اسے دوبارہ استعمال کرتی ہے۔ جب ایک ایپلیکیشن بری سے مالیٹنٹ ان پٹ — جیسے HTTP ریسپانس یا Brotli فارمیٹ کے ساتھ کمپریسڈ اپ لوڈ کردہ فائل پیلود — کو پروسیس کرتی ہے، تو ڈیکوڈنگ عمل میموری کرپشن کو ٹرگر کرتا ہے۔ امپیروا سکیورٹی ریسرچرز کے مطابق، یہ میموری کرپشن ایپلیکیشن کریش، میموری لیک، یا چلنے والے پروسس کے اختیارات کے تحت مکمل ریموٹ کوڈ اجرا کا سبب بن سکتی ہے۔

کون سے سافٹ ویئر رن ٹائمز اور ایکو سسٹم متاثر ہیں؟

ایک خامی وہ کسی بھی سافٹ ویئر پروڈکٹ یا رن ٹائم ماحول کو متاثر کرتی ہے جو گوگل کی بروٹلی لائبریری کے اپ ڈیٹ نہ ہونے والے ورژن (1.0.3 سے 1.0.9، 1.1.0، اور 1.2) کو شامل یا لنک کرتا ہے۔ آئی ٹی سیکورٹی فرموں کے ذریعہ جاری کیے گئے خامی ٹریکنگ ایلرٹس کے مطابق، متاثرہ ایکو سسٹم متعدد زبانوں اور انفراسٹرکچر ٹولز تک پھیلے ہوئے ہیں:

Node.js: مرکزی رن ٹائم کے اندر deps/brotli کے تحت اپنا اپنا Brotli ڈیکوڈر شامل ہے۔ سپورٹ کی جانے والی ریلیز لائنز 22.x، 24.x اور 26.x کو ایمرجنسی پیچ کے قبل ظاہر کیا گیا تھا۔
پائیتھن پیکیجز: برُوٹلی اور برُوٹلکفی جیسے معیاری پائیتھن وریپر پیکیجز اصل سی کوڈ کے خرابی کو ورثہ میں پاتے ہیں۔
دیگر رنٹائمز اور پروکسیز: بان، سروس میشز، اور API گیٹ وے جیسے Envoy اور Istio جو آنے والی کمپریسڈ ٹریفک کو ہینڈل کرتے ہیں، وہ بھی اسی طرح متاثر ہوتے ہیں۔

چونکہ اس کمزوری اعلیٰ سطح کے پیکیج انحصاروں کے بجائے کور رن ٹائم بائنریز کے اندر موجود ہے، اس لیے معیاری ایپلیکیشن انحصار اسکینرز عام طور پر خطرے کو خودکار طور پر نہیں ظاہر کرتے۔

نوڈ.js اور پائیتھن ایپلیکیشنز کے لیے حقیقی دنیا کے خطرات کیا ہیں؟

بیرونی نیٹ ورک ٹریفک کو پروسیس کرنے والی ایسی خدمات جن میں پیچھے کی گئی ہوں، فوری خطرات کا شکار ہوتی ہیں جن میں انکار کی گئی سروس (DoS) کی حالت سے لے کر مکمل سسٹم کا کمپرومایز ہونا شامل ہے۔ کلاؤڈ سیکورٹی فراہم کنندگان کے واقعات کے تجزیوں کے مطابق، بنیادی حملوں کے ذرائع درج ذیل ہیں:

سرور طرف انگیشنشن: بیک اینڈ API جو کمپریسڈ فائل اپ لوڈ کو قبول کرتی ہیں یا HTTP کلائنٹ ماڈیولز جو نیٹیو فیچ فنکشنز کو چلاتے ہیں جو خطرناک سرور ریسپانسز کو ان پیک کرتے ہیں۔
کلائنٹ سائیڈ ایکسپوژر: ویب ایپلیکیشنز یا مائیکروسروسز جو غیر قابل اعتماد باہری ایند پوائنٹس سے ڈیٹا حاصل کرتے ہیں اور آنے والے بروٹلی پیلود کو خودکار طور پر ڈی کمپریس کرتے ہیں۔

اگر کامیابی کے ساتھ استعمال کیا جائے، تو حملہ آور کلاؤڈ ورکلوڈز یا کنٹینرائزڈ انسٹنسز پر بے تصدیق دورانیہ کوڈ اجرا حاصل کر سکتے ہیں، جس سے اندر کے سروس میشز کے درمیان لیٹرل موومنٹ اور ڈیٹا کی بہانہ کشی ممکن ہو جاتی ہے۔

ڈویلپرز CVE-2026-111497 کو کیسے پیچ اور کم کر سکتے ہیں؟

متاثرہ سافٹ ویئر رن ٹائمز کو ان کے متعلقہ پیچڈ ورژنز تک اپ گریڈ کرنا واحد مکمل اور مستقل علاج ہے، کیونکہ سرکاری کنفیگریشن کے راستے دستیاب نہیں ہیں۔ 21 اکتوبر، 2026 کو جاری کردہ سرکاری سیکورٹی مشوروں کے مطابق، ڈویلپرز اور سسٹم ایڈمنسٹریٹرز کو فوری طور پر درج ذیل اقدامات کرنے چاہئیں:

Node.js رنٹائمز کو اپ ڈیٹ کریں: Node.js انسٹالیشنز کو محفوظ کردہ سیکورٹی ریلیزز: ورژن 22.23.4، 24.22.1، یا 26.12.1 پر اپ گریڈ کریں۔ ختم ہونے والے (EOL) ورژنز (جیسے Node.js 20.x یا غیر محفوظ کردہ کسٹم لائنز) کو فوراً اپ گریڈ کریں، کیونکہ انہیں کوئی آفیشل بیک پورٹڈ پچس نہیں ملیں گی۔
پائیتھن پیکیجز کو اپ گریڈ کریں: Brotli کمپریشن سے متعلق تمام پائیتھن وابستگیوں کو پیکیج مینیجرز کے ذریعے ان کے نئے محفوظ ورژنز پر اپ ڈیٹ کریں۔
انفراسٹرکچر ایسٹس کو اسکین کریں: رن ٹائم اسکیننگ ٹولز (جیسے کہ Qualys InstaScan) کو ڈیپلوی کریں تاکہ کنٹینر ایمیجز، ورچوئل مشینز، اور کلاؤڈ ورکلوڈز کو معیاری راستوں کے باہر چھپے ہوئے بائنری کاپیز والے زخمی Brotli ڈیکوڈرز کے لیے جانچا جا سکے۔

نتیجہ

CVE-2026-111497 ("Node2Shell") کی دریافت نے جدید کلاؤڈ آرکیٹیکچر میں گہرائی سے گھلے یونٹلی لائبریریز کے ساتھ متعلقہ نظامگت خطرات کو اجاگر کیا ہے۔ چونکہ گوگل کا Brotli ڈیکمپریشن الگورتھم کئی زبانوں کے رن ٹائمز اور پروکسیز میں اسٹیٹک طور پر کمپائل ہوتا ہے، اس لیے ایک واحد میموری کرپشن کی خامی Node.js، Python، اور دیگر ویب انفراسٹرکچر میں وسیع پیمانے پر خطرہ پیدا کر سکتی ہے۔ سیکورٹی ٹیمیں صرف انحصار کے انتظام سے آگے بڑھ کر مرکزی بائنری ورژنز کا فعال طور پر جائزہ لینا، رن ٹائم اپڈیٹس کا جائزہ لینا، اور ممکنہ ریموٹ کوڈ ایکزیکشن حملوں کو روکنے کے لیے متاثرہ ماحول کو فوراً پچ کرنا چاہئیں۔ ترقی پذیر سپلائی چین خطرات کے خلاف سب سے زیادہ موثر دفاع ترقیاتی اثاثوں کی واضح تصویر اور تیز رفتار پچ ڈپلوائمنٹ ہیں۔

اکثر پوچھے جانے والے سوالات

CVE-2026-111497 کیا ہے؟

CVE-2026-111497 گوگل کی بروٹلی ڈیکمپریشن سی لائبریری میں واقع ایک اہم آؤٹ آف باؤنڈز لکھنے کی کمزوری کے لیے مختص ایک سرکاری عام کمزوریوں اور اظہاروں کا شناخت کنندہ ہے۔

کیوں اس کمزوری کو "Node2Shell" کہا جاتا ہے؟

ایمپریوا کے سیکورٹی ریسرچرز نے اس کمزوری کو "Node2Shell" کہا کیونکہ ان کے ابتدائی کامیاب ثبوت-کا-تفہیم حملوں نے بے پچ کردہ Node.js رن ٹائم ماحول کے خلاف ریموٹ کوڈ اجراء کا ثبوت پیش کیا۔

کیا معیاری npm پیکیج آڈٹس اس خامی کو دریافت کرتے ہیں؟

نہیں، معیاری npm وابستگی چیکر CVE-2026-111497 کو نہیں پکڑتے کیونکہ کمزوری core Node.js بائنری کوڈ میں موجود ہے جو deps/brotli میں کمپائل کیا گیا ہے، باہری صارف-زمین پیکج نہیں۔

کیا Node.js کے تمام ورژن CVE-2026-111497 کے لیے متاثر ہیں؟

نہیں، صرف مخصوص ریلیز لائنز متاثر ہوئیں، اور اصلاحات صرف سپورٹ کیے جانے والے ورژنز کے لیے دستیاب ہیں۔ نوڈ.js نے خامی کو ورژنز 22.23.4، 24.22.1 اور 26.12.1 میں درست کر دیا، جس سے پرانے ختم ہو چکے ورژنز مستقل طور پر خطرے میں رہ گئے جب تک کہ ان کا اپ گریڈ نہیں کر دیا جاتا۔

بروٹلی کی کمزوری کا CVSS شدت اسکور کیا ہے؟

گوگل اور بڑے وولنریبیلٹی مینجمنٹ پلیٹ فارمز نے CVE-2026-111497 کو 10.0 میں سے 9.2 کے اہم CVSS 4.0 اسکور کی تجویز کی ہے، کیونکہ اس کی غیر تصدیق شدہ ریموٹ کوڈ ایکزیکیشن کی صلاحیت ہے۔

ڈسکلیمر

یہ عام بازار کی معلومات، جو ممکنہ طور پر تیسرے پارٹی، تجارتی یا سپانسر شدہ ذرائع سے حاصل کی گئی ہیں، صرف حوالہ اور تعلیمی مقاصد کے لیے فراہم کی گئی ہیں اور یہ مالیاتی یا سرمایہ کاری کی مشورت، پیشکش، دعوت یا ضمانت نہیں ہے۔ ہم اس کی درستگی، مکملیت، قابل اعتمادی اور نتیجہ میں ہونے والے کسی بھی نقصان کے لیے ذمہ داری قبول نہیں کرتے۔ سرمایہ کاری/ٹریڈنگ خطرناک ہے؛ ماضی کی کارکردگی مستقبل کے نتائج کی ضمانت نہیں دیتی۔ صارفین کو تحقیق کرنی چاہیے، عقلمندی سے فیصلہ کرنا چاہیے اور مکمل ذمہ داری لینی چاہیے۔ مزید تفصیلات کے لیے، براہ راست KuCoin کے استعمال کی شرائط اور خرابی کا اعلان دیکھیں۔

ڈس کلیمر: یہ صفحہ آپ کی سہولت کے لیے AI ٹیکنالوجی کا استعمال کرتے ہوئے ترجمہ کیا گیا ہے۔ سب سے درست معلومات کے لیے، اصل انگلش ورژن سے رجوع کریں۔