Brotli Sıkıştırma Kütüphanesindeki Node2Shell Güvenlik Açığı Geniş Çaplı Güncellemeleri Tetikledi

Brotli Sıkıştırma Kütüphanesindeki Node2Shell Güvenlik Açığı Geniş Çaplı Güncellemeleri Tetikledi

Google’ın Brotli veri sıkıştırma kütüphanesinde keşfedilen ve CVE-2026-111497 olarak izlenen, aynı zamanda Node2Shell olarak adlandırılan bir güvenlik açığı, Microsoft, Node.js projesi ve iki Python paketinin bakımcıları tarafından güvenlik güncellemelerinin yayınlanmasına neden oldu. Node.js ve Python paketleri geçen hafta yamalanırken, Microsoft 25 Ekim’de .NET, Visual Studio ve PowerShell için düzeltmeler yayınladı. Bun, Envoy ve Istio gibi diğer projeler de güncellendi.

Brotli Güvenlik Açığının Detayları

Web üzerinden gönderilen verileri sıkıştırmak için yaygın olarak kullanılan Brotli’nin kod çözücüsü, birçok uygulama ve kütüphaneye gömülüdür. Bir bellek dışı yazma (out-of-bounds write) hatası olarak tanımlanan bu hata, Brotli’nin 1.0.3’ten 1.2.0’a kadar olan sürümlerini etkilemektedir. Google, bu açığa 9.2’lik bir CVSS v4 puanı vererek kritik kategorisine yerleştirdi. Brotli’nin 1.0.10, 1.1.1 ve 1.2.1 sürümleri bu düzeltmeyi içermektedir.

Node.js projesi, özel olarak hazırlanmış bir girdinin, kod çözücü tarafından kullanılan bir arabelleğin sınırlarının ötesine veri itebileceğini belirtti. Ortaya çıkan bellek bozulması, sürecin çökmesine veya bellek içeriğinin sızmasına neden olabilir ve kimliği doğrulanmamış bir saldırganın rastgele kod çalıştırmasına olanak tanıyabilir. Node.js, bu keşif için OpenAI Codex Security üyelerine teşekkür etti. OpenAI’ye göre, sorun kırmızı takım çalışmaları sırasında ortaya çıkarıldı ve şirket daha sonra Brotli geliştiricilerini ve kütüphaneyi kullanan projeleri bilgilendirdi.

Düzeltmenin Zamanlaması ve İstismar Potansiyeli

OpenAI, düzeltmenin açığa çıkmadan önce yapıldığını kaydetti. Yapay zeka şirketi, “Bu temel sorun aslında Şubat ayında Brotli kaynak kodunda düzeltilmişti, ancak o zamanlar bir güvenlik açığına yol açtığı bilinmiyordu ve Brotli’nin daha yeni bir sürümü yoktu” açıklamasını yaptı.

Imperva, Linux arm64 için resmi Node.js 24.22.0 görüntüsünde kod yürütme için istismar edilebileceğini gösterdi. Araştırmacılar, kötü amaçlı verileri hem hedef uygulamanın aldığı bir sunucu yanıtında hem de Express 5 veya body-parser 2 tarafından işlenen bir istek gövdesinde gönderdi. Imperva, “Kanıt her denemede başarılı olmadı. Sonuçlarımız, test edilen Linux arm64 yapısı ve uygulama kurulumları için kod yürütmeyi ortaya koyuyor ve düzeltilmiş yapının aynı girdileri nasıl işlediğini gösteriyor” dedi. Güvenlik firması istismar kodunu henüz kamuya açıklamadı.

Saldırılar, kötü amaçlı Brotli verileri kod çözücüye ulaştığında, örneğin uygulamanın adına sıkıştırılmış içeriği açan bir kütüphane aracılığıyla çalışır. OpenAI’nin Patch the Planet girişimi, “Saldırgan tarafından kontrol edilen verileri etkilenen bir Google Brotli kod çözücüsüne geçiren herhangi bir uygulama maruz kalabilir. Buna sıkıştırılmış HTTP istek gövdeleri, güvenilmeyen sunuculardan alınan yanıtlar ve sıkıştırılmış dosyalar dahildir” uyarısında bulundu. Şu ana kadar vahşi doğada herhangi bir istismar rapor edilmedi. GitHub’da yayınlanan bir kavram kanıtlama istismarı, yalnızca kasıtlı olarak zayıflatılmış bir yapıya karşı kod yürütme sağladığı ve bazı araştırmacılar hatanın yalnızca hizmet reddi (DoS) saldırıları için kullanılabileceğini savundu.

Etkilenen Microsoft Ürünleri ve Python Paketleri

Microsoft’un 25 Ekim güncellemeleri arasında .NET çalışma zamanı sürümleri 8.0.33, 9.0.22 ve 10.0.14 ile .NET 11 Release Candidate 3 bulunmaktadır. Visual Studio 2019, 2022 ve 2026’nın yanı sıra PowerShell 7.4, 7.5 ve 7.6 da güncellendi. Microsoft, CVE-2026-111497’yi 8.1’lik bir CVSS v3.1 temel puanına sahip bir ayrıcalık yükseltme sorunu olarak kategorize etti. Hatayı .NET ve Visual Studio için kritik, PowerShell için önemli olarak derecelendirdi ve istismar edilebilirlik değerlendirmesi “İstismar Daha Olası” olarak belirlendi.

Python söz konusu olduğunda, savunmasız kod çözücü iki PyPI paketine, Brotli ve brotlicffi’ye yerleşiktir. Bu paketler sırasıyla 1.2.1 ve 1.2.1.0 sürümlerinin yayınlanmasıyla yamalanmıştır. Daha fazla etkilenen yazılım ortaya çıktıkça, araştırmacılar hatayı HTTP2Shell ve Broccoli2Shell olarak adlandırmaya başladı. Kendi Brotli kod çözücüsünü içeren yazılımların genel bir takip listesi, DuckDB, Apache Arrow, 7-Zip-zstd, p7zip ve EDK II dahil olmak üzere hala yamalanmamış birkaç projeyi listelemektedir. Bakımcıları, listenin eksik olduğunu ve bu projelerin her yapılandırmasının savunmasız kodu mutlaka açığa çıkarmadığını belirtiyor. Güncellemelerin uygulanması, etkilenen hizmetlerin yeniden başlatılmasını ve yamalanmış bir taban üzerine konteyner görüntülerinin yeniden oluşturulmasını da gerektirir, çünkü zaten çalışan süreçler savunmasız kodu kullanmaya devam eder.

Kaynak: Orijinal haber