CISA ئاگاھلاندۇردى: Brotli دىكى «Node2Shell» ئاجىزلىقى ھۇجۇمدا ئىشلىتىلىۋاتىدۇ

ئامېرىكا تور بىخەتەرلىكى ۋە ئۇل ئەسلىھە بىخەتەرلىكى ئىدارىسى (CISA) سەيشەنبە كۈنى Google نىڭ Brotli پرېسلاش (compression) كۈتۈپخانىسىدىكى خەتەرلىك ئاجىزلىق (vulnerability) نىڭ ھەقىقىي ھۇجۇملاردا ئىشلىتىلىشكە باشلىغانلىقىنى جەزملەشتۈردى. CVE-2026-111497 نومۇرلۇق بۇ ئاجىزلىق تور بىخەتەرلىكى ساھەسىدە «Node2Shell»، «Broccoli2Shell» ۋە «HTTP2Shell» دېگەن ناملار بىلەن تونۇلماقتا.

ئاجىزلىق نېمە؟

Brotli تور بەتلىرى ئاز سانلىق مەلۇمات يوللاش ئۈچۈن ئىشلىتىدىغان، كەڭ تارقالغان پرېسلاش فورماتى. NVD نىڭ چۈشەندۈرۈشىچە، مەسىلە Brotli نىڭ يېشىش قىسمى (decoder) دىكى بۇففېر تېشىپ كېتىش (buffer overflow) خاتالىقى بولۇپ، Brotli نىڭ 1.0.3 دىن 1.2.0 گىچە بولغان نەشرلىرىگە تەسىر كۆرسىتىدۇ. ھېچقانداق ھوقۇقى يوق يىراقتىكى ھۇجۇمچى ئالاھىدە ياسالغان Brotli ئېقىمى ئارقىلىق قوشنا خاتىرە (memory) نى بۇزالايدۇ، سەزگۈر مەلۇماتلارنى ئاشكارىلىيالايدۇ، مۇلازىمەتنى توختىتىپ قويالايدۇ ياكى بەزى ئەھۋاللاردا خالىغان كودنى ئىجرا قىلالايدۇ (remote code execution).

Google بۇ ئاجىزلىققا CVSS 4.0 بويىچە 10 دىن 9.2 نومۇر بېرىپ، ئۇنى «ئېغىر» (critical) دەرىجىگە ئايرىغان. مەسىلە ئەڭ دەسلەپ Node.js دا بايقالغان، ئەمما ئۇ ئاجىز Brotli نەشرىنى ئىشلىتىدىغان باشقا HTTP مۇلازىمېتىر ۋە خېرىدارلىرىغىمۇ تەسىر كۆرسىتىدۇ.

قايسى پروگراممىلار خەتەرگە دۇچ كېلىدۇ؟

OfSec نىڭ تەھلىلىگە قارىغاندا، خەتەر ئەپ ھۇجۇمچى كونترول قىلالايدىغان Brotli مەلۇماتىنى يەشكەندە كېلىپ چىقىدۇ:

• Node.js نىڭ ئىچىگە قۇرۇلغان fetch() ھەمدە axios، got ۋە node-fetch كۈتۈپخانىلىرى Content-Encoding: br جاۋابلىرىنى ئاپتوماتىك يېشىدۇ. شۇڭا ئىشلەتكۈچى بەرگەن ئۇلانمىلارنى ئاچىدىغان ئەپلەر (ئۇلانما ئالدىن كۆرۈنۈشى، webhook، سىرتقى رەسىملەرنى بىر تەرەپ قىلىش قاتارلىقلار) خەتەرگە دۇچ كېلىدۇ.
• Express 5 ئىشلىتىدىغان body-parser 2.x كەلگەن تەلەپلەرنى سۈكۈتتىكى ھالەتتە يېشىدۇ، Brotli مۇ بۇنىڭ ئىچىدە. Express 4 بۇ يول بىلەن خەتەرگە ئۇچرىمايدۇ.

نېمە قىلىش كېرەك؟

Node.js تۈزىتىلگەن نەشرلەرنى 21-ئۆكتەبىر ئېلان قىلغان: 22.23.4، 24.22.1 ۋە 26.12.1. Node.js 20، 23 ۋە 25 قوللاشتىن قالغان بولۇپ، ئۇلارغا تۈزىتىش چىقمايدۇ؛ ئۇلارنى ئىشلىتىۋاتقانلار قوللىنىلىۋاتقان نەشرگە يۆتكىلىشى كېرەك. Brotli نى بىۋاسىتە ئىشلىتىدىغان پروگراممىلار ئۈچۈن Google نىڭ تۈزىتىلگەن نەشرلىرى 1.0.10، 1.1.1 ۋە 1.2.1.

CISA بۇ ئاجىزلىقنى ئۆزىنىڭ «ئىشلىتىلىۋاتقان ئاجىزلىقلار تىزىملىكى» (KEV Catalog) گە قوشۇپ، ئامېرىكا ھۆكۈمەت ئورگانلىرىنى 10-نويابىرغىچە سىستېمىلىرىنى يېڭىلاشقا بۇيرۇدى. دەرھال يېڭىلىيالمايدىغان بىخەتەرلىك گۇرۇپپىلىرى پروكسى ياكى مۇداپىئە تېمى (firewall) دا Brotli بىلەن پرېسلانغان تەلەپلەرنى توسۇشى ياكى Brotli يېشىش ئىقتىدارىنى ۋاقىتلىق تاقىشى كېرەك. يېڭىلىغاندىن كېيىن مۇناسىۋەتلىك جەريانلارنى قايتا قوزغىتىش، Docker سۈرەتلىرى (container images) نى قايتا ياساپ قايتا ئورۇنلاشتۇرۇش لازىم.

OfSec يەنە npm audit نىڭ پەقەت تۈردىكى بوغچىلارنىلا تەكشۈرىدىغانلىقى، Node.js نىڭ ئۆزىنى تەكشۈرمەيدىغانلىقى ئۈچۈن بۇ ئاجىزلىقنى كۆرسەتمەيدىغانلىقىنى ئەسكەرتكەن. شۇڭا مۇلازىمېتىر، CI مۇھىتى، Docker سۈرەتلىرى ۋە Electron ئەپلىرىدىكى Node.js نەشرلىرىنى ئايرىم-ئايرىم تەكشۈرۈش تەۋسىيە قىلىنىدۇ.