Node.js’in desteklenen tüm sürümlerinde bulunan Brotli çözme bileşenindeki bir hata, belirli koşullarda uzaktan kod çalıştırmaya kapı aralayabiliyor. Açık, Node.js ekosistemini kullanan geliştiricileri ve bu altyapıya bağımlı uygulamaları etkiliyor.
Yapılan teknik incelemelere göre sorun, Brotli decoder içinde bellek yönetimi sırasında ortaya çıkıyor. Saldırganın kontrol ettiği özel biçimli veri, kodun beklenmedik şekilde çalışmasına yol açabilecek bir durum yaratabiliyor. Güvenlik araştırmacıları, bu tip kusurların özellikle ağ üzerinden işlenen verilerde daha ciddi sonuçlar doğurabildiğini aktarıyor.
Desteklenen tüm sürümler için düzeltme yayımlandı
Node.js tarafında her desteklenen sürüm hattı için sabit bir düzeltme sürümü hazırlandı. Bu güncelleme, açık etkili olmaya devam etmeden önce ilgili sürüm dalına uygulanması gereken yama olarak dağıtıldı. Sürüme bağlı sabitleme yaklaşımı nedeniyle kullanıcıların kendi hatlarına uygun paketi yüklemesi gerekiyor.
Güncellemenin hangi sürümde verildiğine ilişkin ayrıntılar, Node.js’in sürüm hattına göre değişiyor. Bu nedenle ekipler, yalnızca ana sürümü değil, kullandıkları dalın güvenlik düzeltmesini de kontrol etmek zorunda.
Teknik riskin kaynağı Brotli ayrıştırması
Brotli, web trafiğinde sık kullanılan bir sıkıştırma yöntemi olduğu için bu tür bir hata yalnızca kurumsal uygulamaları değil, içerik işleme ve servis katmanlarını da ilgilendiriyor. Sorun doğrudan sıkıştırılmış verinin çözümlenmesi sırasında ortaya çıkıyor; saldırı zinciri de bu aşamayı hedefliyor.
Node.js, geliştiriciler tarafından sunucu tarafı uygulamalarda yaygın biçimde kullanılıyor. Bu yüzden açık, tek bir paketle sınırlı bir sorun gibi görünse de, üstünde çalışan servislerin davranışını doğrudan etkileyebilecek bir güvenlik riski olarak değerlendiriliyor.