Node.js Brotli kod çözücüsündeki kritik açık kapatıldı
Öne çıkanlar
- Node.js ekibi Brotli kod çözücüsündeki kod çalıştırma açığını kapatan güvenlik güncellemelerini yayımladı.
- Zafiyet, bozuk Brotli verileri işlendiğinde bellek sızıntısına ve yetkisiz komut yürütülmesine yol açıyor.
- Kendi sunucusunu yöneten geliştiricilerin 22.23.4, 24.22.1 veya 26.12.1 sürümlerine geçmesi gerekiyor.
Node.js ekibi, 21 Ekim 2026 tarihinde 22.x, 24.x ve 26.x sürümleri için kapsamlı bir güvenlik güncellemesi yayımladı. CVE-2026-111497 koduyla izlenen ve Brotli kod çözücüsünde bulunan yüksek öncelikli zafiyet, saldırganların bellek sızıntısı yaratmasına veya uzaktan rastgele kod çalıştırmasına izin veriyor. Güncelleme paketi bu hatayla birlikte, iki ayrı TLS sunucu adı doğrulama atlatma açığını da içeren toplam on sorunu giderdi.
Zafiyet, Node.js içine gömülü gelen Brotli kod çözücüsünün bozuk veri akışını işlerken sınır dışı yazma hatası yapmasından kaynaklanıyor. Güvenlik araştırmacıları, yamasız sürümlerde süreç belleğinin ele geçirilebildiğini ve Node.js yetkileriyle komut çalıştırılabildiğini kanıtladı. Tehlike yalnızca gelen isteklerle sınırlı kalmıyor; uygulamanın dış kaynaklardan çektiği ve açtığı Brotli verileri de aynı riski taşıyor.
Vercel, aynı gün altyapısındaki tüm projeler için gelen saldırı trafiğini engelleyen WAF kurallarını devreye aldı. Şirket, yönetilen çalıştırma ortamlarını yeni sürümlere güncellerken, kendi sunucularını ve yerel ortamlarını kullanan geliştiricilere Node.js sürümlerini 22.23.4, 24.22.1 veya 26.12.1 seviyesine yükseltmeleri yönünde çağrıda bulundu.
Bu özet yapay zekâ ile hazırlanmıştır; ayrıntılar ve doğrulama için orijinal kaynağa başvurun.