ثغرة في مكتبة Brotli وNode.js يصدر إصلاحات أمنية
باحثو Imperva سموا الثغرة Node2Shell وأثبتوا تنفيذ شيفرة على Node.js 24.22.0 لنظام Linux ARM64، وصدرت نسخ مصححة.
كُشف عن ثغرة في مكتبة الضغط Brotli من Google تتبع الرمز CVE-2026-111497، وتسمح بكتابة في الذاكرة خارج الحدود المخصصة عند فك ضغط مدخلات مشوّهة، وفق dailysecu.com. وأطلق باحثو Imperva على الثغرة اسم Node2Shell بعدما أثبتوا تنفيذ شيفرة برمجية على الإصدار 24.22.0 الرسمي من Node.js لنظام Linux ARM64.
ويمكن أن يؤدي استغلال الثغرة إلى تعطّل البرنامج وتسريب محتويات الذاكرة، وقد يفضي في بعض الحالات إلى تنفيذ شيفرة عن بُعد. واستخدم الباحثون مسارين في العرض التوضيحي: استجابة مضغوطة من خادم خارجي، ونص طلب مضغوط. وتطلّب نجاح الاستغلال محاولات عدة، ولم يُثبت تنفيذ الشيفرة على أنظمة تشغيل أو منتجات أخرى.
المنتجات المعنية والإصلاحات
قد تتأثر Envoy وIstio عند تفعيل فك ضغط Brotli. وفي Python تفكّ مكتبات HTTP الاستجابات تلقائياً باستخدام حزمتي Brotli أو brotlicffi إذا كانتا مثبتتين، وقد يكون وقت التشغيل Bun معرّضاً أيضاً.
وأصدرت Node.js نسخاً مصححة هي 22.23.4 و24.22.1 و26.12.1 في 21 أكتوبر 2026، فيما أصدرت Brotli إصلاحات أمنية في الإصدارات 1.0.10 و1.1.1 و1.2.1.
ولم تُرصد حتى الآن أي عملية استغلال فعلي للثغرة في المواد المنشورة. ويُستخدم Brotli، وهو تقنية ضغط من Google، لتقليل حجم صفحات الويب وبيانات الاتصال.
أسئلة سريعة
ما هي ثغرة Node2Shell؟
ثغرة في مكتبة Brotli تتبع الرمز CVE-2026-111497، تسمح بالكتابة في الذاكرة خارج الحدود عند فك ضغط مدخلات مشوّهة، وقد تفضي إلى تعطّل البرنامج أو تسريب الذاكرة أو تنفيذ شيفرة عن بُعد.
ما النسخ المصححة؟
أصدرت Node.js الإصدارات 22.23.4 و24.22.1 و26.12.1 في 21 أكتوبر 2026، وأصدرت Brotli إصلاحات في الإصدارات 1.0.10 و1.1.1 و1.2.1.
هل رُصد استغلال فعلي للثغرة؟
لم تُرصد أي عملية استغلال فعلي في المواد المنشورة، وأثبت الباحثون تنفيذ الشيفرة على Node.js 24.22.0 لنظام Linux ARM64 فقط.