Node2Shell अब HTTP2Shell बना, HTTP लाइब्रेरी खतरे में
मूल शीर्षक: Node2Shell evolves to HTTP2Shell, blast radius affects many HTTP libs and apps
यह क्यों महत्वपूर्ण है
Brotli HTTP में व्यापक रूप से उपयोग होती है, इसलिए यह खामी वेब इन्फ्रास्ट्रक्चर के बड़े हिस्से को प्रभावित कर सकती है।
21 अक्टूबर 2026 को Node.js ने CVE-2026-111497 'Node2Shell' उजागर किया। इसके बाद Python और अन्य भाषाओं की HTTP लाइब्रेरी भी प्रभावित पाई गईं। Brotli डिकम्प्रेशन के ज़रिए मेमोरी लीक या arbitrary code execution संभव।
Google की Brotli कम्प्रेशन लाइब्रेरी में एक गंभीर खामी सामने आई है। 21 अक्टूबर 2026 को Node.js ने CVE-2026-111497 का खुलासा किया, जिसे 'Node2Shell' नाम दिया गया। इस कमज़ोरी में यदि कोई Node.js प्रोसेस हमलावर द्वारा नियंत्रित Brotli डेटा को डिकम्प्रेस करे, तो मेमोरी लीक या मनमाना कोड चलाया जा सकता है।
गुरुवार 22 अक्टूबर को Python ने भी स्वीकार किया कि उसके पैकेज भी इसी CVE से प्रभावित हैं। शुक्रवार 23 अक्टूबर तक यह स्पष्ट हो गया कि यह खामी कई अन्य प्रमुख प्रोग्रामिंग भाषाओं और HTTP उपयोग करने वाले सर्विस एप्लिकेशन को भी प्रभावित करती है — इसीलिए इसे अब 'HTTP2Shell' कहा जा रहा है।
Aikido Security की रिपोर्ट के अनुसार, अधिकांश प्रभावित लाइब्रेरी के लिए पैच अभी पूरी तरह उपलब्ध नहीं हैं। सुरक्षा शोधकर्ताओं की सलाह है कि जब तक पैच न आए, Brotli डिकोडिंग को डिसेबल कर दें और अपनी dependencies में Brotli के उपयोग की जाँच करें। जैसे ही अपडेट उपलब्ध हों, तत्काल अपग्रेड करें।