Node.js-də Yeni RCE Exploit: Zərərli Brotli Verilənləri ilə Kod İcrası
13rose
1 min read
Node.js Sistemlərində RCE Riski
Təhlükəsizlik tədqiqatçıları, rəsmi Node.js qurğularında hücumçuya məxsus kodun icrasına (RCE) imkan verən ciddi bir Exploit nümayiş etdiriblər. Imperva şirkətinin mütəxəssisləri tərəfindən aşkarlanan bu boşluq, Node.js tətbiqlərində zərərli Brotli verilənlərindən istifadə edərək kritik təhlükəsizlik zəifliyi yaradır.
Node2Shell: Sübut-Konsept Detalları
Tədqiqatçıların “Node2Shell” adlandırdığı sübut-konsept (Proof of Concept), Node.js-in Linux arm64 üçün rəsmi 24.22.0 imicində uğurla kod icra edib. Bu hücum, heç bir debug alətinə və ya xüsusi quraşdırmaya ehtiyac duymadan, paketə daxil olan Brotli dekoderinə (CVE-2026-111497) xüsusi hazırlanmış məlumatlar ötürməklə həyata keçirilib.
Bu, Node.js ekosistemində ciddi bir təhlükəsizlik riski yaradır, çünki zərərli məlumat axını vasitəsilə sistemlərə icazəsiz giriş və nəzarət əldə etmək mümkün ola bilər. Node.js layihəsi sözügedən boşluğu artıq açıqlayıb və təhlükəsizlik yeniləmələri üzərində işlərin getdiyi gözlənilir.
