Node.js, uzaktan kod çalıştırmaya yol açabilen Brotli açığını kapattı

Node.js projesi 21 Ekim'de desteklenen tüm sürüm hatları için güvenlik güncellemeleri yayımlayarak on açığı giderdi. Bunların en dikkat çekeni, gömülü Brotli çözücüsündeki yüksek önem dereceli sınır dışı yazma açığı CVE-2026-111497. Proje bu açığın uzaktan kod çalıştırmaya imkân verdiğini belirtiyor. Brotli açığı için geçici bir önlem sunulmadığından kullanıcıların 26.12.1, 24.22.1 veya 22.23.4 sürümüne geçmesi gerekiyor.

Neler oldu?

Node.js'in duyurusuna göre CVE-2026-111497, 22.x, 24.x ve 26.x hatlarını etkiliyor ve OpenAI Codex Security araştırmacıları Khai Tran ile Sylvie Mayer tarafından bildirildi. The Hacker News'in aktardığına göre açık, bozuk sıkıştırılmış veriyle tetikleniyor. Düzeltme, çözücünün geçersiz veriyi arabellek sınırını aşmadan reddetmesini sağlayan üst akış Brotli yamasına dayanıyor; aynı düzeltme 21 Ekim'de Brotli 1.2.1, 1.1.1 ve 1.0.10 sürümleriyle de yayımlandı.

The Hacker News'e göre 22 Ekim'de herkese açık bir kavram kanıtı (PoC) paylaşıldı, ancak bu kod yalnızca bilerek zayıflatılmış bir test derlemesinde kod çalıştırmayı başardı. Standart derlemede yazarı, sürecin çöktüğünü ve bellekten sınırlı veri okunabildiğini bildirdi. 22 Ekim itibarıyla gerçek saldırılarda istismar rapor edilmedi.

Teknik detaylar

The Hacker News'e göre saldırganın kontrol ettiği Brotli verisini, örneğin istek gövdelerini ya da başka sunuculardan çekilen yanıtları açan uygulamalar risk altında. Buna fetch() tarafından yapılan otomatik açma işlemi de dahil.

Güncellemeler yüksek önem dereceli üç açığı daha kapatıyor: dns.resolve işlevinin NUL karakteri içeren adları kırptığı CVE-2026-105482 ile standart dışı veya tam genişlikli rakamlarla yazılmış IP adresleri üzerinden TLS sertifikası ana bilgisayar adı denetiminin atlatılmasına yol açan CVE-2026-106069 ve CVE-2026-105483. Orta önem dereceli düzeltmeler arasında başlangıç anlık görüntüsü veya tek dosyalık uygulamalardan başlatılan süreçlerde crypto.randomUUID() ve randomInt() değerlerinin tekrarlandığı CVE-2026-106074 ile keep-alive soketlerini etkileyen CVE-2026-105481 bulunuyor. Permission Model ve ZipFile ile ilgili üç düşük önem dereceli sorun da giderildi.

Gömülü CA sertifika deposu eMudhra ara sertifika otoritesi ihlaline karşı güncellendi; c-ares, undici, OpenSSL ve SQLite bileşenleri de çeşitli hatlarda yenilendi.

Kimler etkileniyor?

Node.js 22.x, 24.x ve 26.x kullanan herkes etkileniyor. Node.js, desteği biten sürümlerin de bu açıklardan etkilendiğini ancak düzeltme almayacağını belirtiyor; hâlâ 20.x veya daha eski sürüm kullanan ekiplerin desteklenen bir sürüme geçmesi gerekiyor.

Ne yapmalı?

26.12.1, 24.22.1 veya 22.23.4 sürümüne yükseltin; Node.js içeren konteyner imajlarını ve tek dosyalık uygulamaları yeniden derleyin. Hizmetlerinizin güvenilmeyen Brotli içeriğini açıp açmadığını kontrol edin. The Hacker News'in aktardığına göre Vercel 21 Ekim'de gelen isteklerdeki saldırıyı engelleyen güvenlik duvarı kuralları ekledi; ancak bu kurallar uygulamanın başka sunuculardan çektiği yanıtları kapsamıyor ve güncellemenin yerini tutmuyor.