Araştırmacılar, hazırlanmış Brotli verisiyle Node.js'te Node2Shell uzaktan kod yürütme açığını gösterdi
Orijinal başlık: Researchers Demonstrate Node2Shell RCE Exploit on Node.js Build Using Crafted Brotli Data
Kısaca
Imperva araştırmacıları, hazırlanmış Brotli verisinin resmi Node.js 24.22.0 imajında saldırgan kodu çalıştırabildiğini gösteren Node2Shell kanıt konseptini yayımladı.
Ne oldu?
- Kanıt konsept, hata ayıklayıcı veya özel derleme olmadan Linux arm64 için resmi Node.js 24.22.0 imajında kod çalıştırmayı başardı.
- Saldırı, paketlenmiş Brotli çözücüsüne hazırlanmış veri beslenerek gerçekleştirildi; açık CVE-2026-111497 olarak kayda geçti.
Neden önemli?
Node.js kullanan ekipler, resmi imajlarda bile uzaktan kod yürütme riski nedeniyle Brotli çözücüsünü etkileyen güvenlik güncellemelerini derhal uygulamalı.
Node.js hakkında diğer haberler
Node.js Brotli çözücü açığı tüm desteklenen sürümlerde uzaktan kod çalıştırmaya izin verebilir
Node.js, desteklenen üç sürüm hattında toplam 10 güvenlik açığını kapatan güncellemeleri yayımladı. En ciddi açık, projeye gömülü Brotli açma kodunda bulunuyor ve uzaktan kod çalıştırmaya izin verebiliyor.
