Brotli की खामी से Node.js, Bun, Envoy और curl में बिना प्रमाणीकरण रिमोट कोड निष्पादन संभव

OpenAI का कहना है कि उसके उच्च-कंप्यूट रेड-टीमिंग अभ्यास में Brotli में भी एक खामी मिली। Brotli, Node.js, Bun, Envoy और कई अन्य प्रोग्रामों में शामिल कंप्रेशन लाइब्रेरी है। इसे CVE-2026-111497 के रूप में दर्ज किया गया है।

OpenAI का कहना है:

• इस खामी के कारण दुर्भावनापूर्ण कंप्रेस्ड डेटा के ज़रिए बिना प्रमाणीकरण रिमोट कोड निष्पादन संभव है। कंप्रेस्ड इनपुट स्वीकार करने वाले ऐसे सर्वर पर, जिसे पैच नहीं किया गया है, दुर्भावनापूर्ण क्लाइंट कब्ज़ा कर सकता है। इसी तरह, कंप्रेस्ड इनपुट स्वीकार करने वाले ऐसे क्लाइंट पर (उदाहरण के लिए curl --compressed) दुर्भावनापूर्ण सर्वर कब्ज़ा कर सकता है।
• मूल कारण को फरवरी में Brotli के सोर्स में ठीक कर दिया गया था, लेकिन किसी को पता नहीं था कि यह सुरक्षा खामी है, इसलिए कोई रिलीज़ नहीं हुई। चूँकि Brotli दूसरे सॉफ़्टवेयर में बंडल किया जाता है, इसलिए इसे शामिल करने वाले हर प्रोजेक्ट को अपडेट लेना होगा, और फिर उसके उपयोगकर्ताओं को भी।
• OpenAI ने Brotli और Node.js जैसे डाउनस्ट्रीम प्रोजेक्ट्स को इस खामी की जानकारी दी। उसका कहना है कि उन्होंने सुरक्षा अपडेट जारी कर दिए हैं या जारी कर रहे हैं, और Brotli ने नई रिलीज़ जारी करके CVE प्रकाशित किया है। विवरण और बचाव के उपाय patchtheplanet.org/brotli पर हैं।

Aikido Security का कहना है: यह खामी सबसे पहले Node.js और Python को प्रभावित करती दिखी थी, लेकिन HTTP इस्तेमाल करने वाली कई लाइब्रेरी और ऐप्लिकेशन तक पहुँचती है; Aikido इसे "HTTP2Shell" कहता है। प्रभावित हर सेवा के लिए अभी सुधार उपलब्ध नहीं हैं; इसका सुझाव है कि Brotli 1.2.1 पर निर्भरता अपग्रेड उपलब्ध होते ही उन पर नज़र रखें। Aikido अब तक libbrotli, Python, C++, Node.js और Envoy के लिए पैच सूचीबद्ध करता है (Envoy की अपनी सलाह GHSA-3wvj-j6qm-62mr है) और कहता है कि और पैच आने वाले हैं।